GitLab : la faille était dans Ruby
Alpine Linux a mis à jour son GitLab, et la faille était toujours là : le défaut vivait dans Onigmo, le moteur d'expressions régulières de Ruby. Trois semaines après le correctif, plus de 1 000 serveurs GitLab restent vulnérables.
Actualité du 2 novembre 2026 · 1 min 36 · 7 sources · 11 affirmations sourcées
En 30 secondes
L'essentiel
- Le correctif GitLab ne touchait que le Ruby embarqué dans ses paquets : une installation avec son propre Ruby est restée vulnérable.
- Alpine a mis à jour, cru être corrigée, puis découvert le contraire quatre jours plus tard, avant de reconstruire son instance.
- Trois semaines après la publication du correctif, plus de 1 000 serveurs GitLab exposés restent vulnérables.
Ce qui est établi, et ce qui ne l'est pas
Chaque affirmation de l'épisode, son statut et ses sources.
- ÉtabliCVE-2026-97229 : un utilisateur non authentifié peut exécuter du code sur le serveur GitLab via une expression régulière piégée dans une configuration CI/CD, CVSS 10,0
- ÉtabliVersions touchées : GitLab CE/EE de 19.2 avant 19.2.8, de 19.3 avant 19.3.5 et de 19.4 avant 19.4.2 ; correctifs publiés le 12 octobre 2026
- ÉtabliLe défaut est un débordement d'entier dans Onigmo, le moteur d'expressions régulières de Ruby : un motif piégé corrompt la mémoire pendant sa compilation
- ÉtabliGitLab ne corrige que le Ruby qu'il embarque : une installation qui utilise son propre Ruby doit passer à 3.3.13, 3.4.12 ou 4.0.9
- ÉtabliLes 20 et 21 octobre, un compte nouvellement créé a envoyé des configurations CI piégées au GitLab d'Alpine Linux : 8 plantages de processus, 4 tentatives allées plus loin, image du conteneur téléchargée
- ÉtabliAlpine passe en 19.3.6 le 22 octobre sans corriger la faille, la constate encore présente le 26, reconstruit l'instance et rouvre le 29 en 19.3.7
- ÉtabliShadowserver : plus de 1 000 instances GitLab encore vulnérables à CVE-2026-97229, sur environ 39 000 instances exposées suivies chaque jour ; 11 300 pour CVE-2026-110264
- ÉtabliCISA : ajout de CVE-2026-97229 au catalogue KEV le 29 octobre 2026, correction exigée au 1er novembre
- ÉtabliLe même défaut peut toucher d'autres produits qui compilent des expressions régulières fournies par leurs utilisateurs ; Regexp.timeout ne protège pas
- InconnuAuteur de l'attaque, nombre de serveurs compromis et exécution effective de code chez Alpine ne sont pas établis
- ÉtabliRecommandations : ne pas exposer GitLab sur Internet, corriger GitLab et Ruby, réinitialiser les secrets et reconstruire l'instance après un doute
Transcription
Le 20 octobre, un inconnu crée un compte sur le GitLab d'Alpine Linux, où cette distribution stocke tout son code. Pendant deux jours, il y envoie des configurations piégées : le service plante huit fois.
CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.
Plus de 1 000 instances GitLab restent vulnérables, trois semaines après le correctif. Shadowserver en suit environ 39 000 exposées sur Internet, chaque jour.
Pourquoi mettre à jour GitLab ne suffisait pas ?
Il suffit d'un compte, même tout neuf, pour pousser une configuration de pipeline. GitLab y compile une expression régulière avec Onigmo, le moteur de Ruby, le langage de GitLab. Un compteur de taille y déborde, et l'attaquant écrit dans la mémoire du serveur.
Ce qu'on sait : GitLab corrige le 12, Ruby le 23, Alpine met à jour le 22 en vain, et la CISA confirme l'exploitation le 29. Ce qu'on ignore : qui est derrière, combien de serveurs sont tombés, et si du code a tourné chez Alpine.
Trois réflexes. Un serveur GitLab ne s'expose pas sur Internet : on passe par un VPN. On met à jour toute la chaîne, GitLab et le Ruby qui le fait tourner. Au moindre doute, on reconstruit et on change les secrets.
Un correctif ne protège que la couche qu'il corrige. Ici, la faille vivait dans Ruby, et GitLab n'était que la porte d'entrée.
Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : vous saviez que la faille était dans Ruby, et pas dans GitLab ?
La suite
Continuer
1 min 27Quand on vole votre budget d'IA
1 min 35Un lien partagé pouvait lire vos conversations privées
1 min 40L'extension officielle qui cachait une porte dérobée
Ne pas manquer le prochain épisode
Le flux RSS annonce chaque nouvel épisode, sans compte ni inscription.
L'actu cyber complète du jour
Les 10 actualités du lundi 2 novembre 2026, dont celle-ci, avec leurs sources.