# CVE-2026-97229 : GitLab CE/EE vulnérable à l’exécution de code via une expression régulière mal validée dans CI/CD

> Une faille dans GitLab CE/EE permettait, dans certaines versions, à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur GitLab via une expression régulière mal validée dans la configuration CI/CD.

- Page canonique : https://kreomnisvigie.com/cve/cve-2026-97229-gitlab
- Sévérité : Critique · CVSS 10.0 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CISA KEV (exploitation observée) : non
- Éditeur : GitLab
- Produits : GitLab CE/EE
- Correctif disponible : oui · PoC public : non · Exploitée : non
- Publiée le 14 octobre 2026 · Kreomnis Vigie
- Issue du bulletin du 14 octobre 2026 (13 octobre 2026)
- Mots clés : gitlab, code-execution-via

## Action recommandée

Mettez à jour GitLab vers les versions patch recommandées et revoyez les configurations CI/CD exposées.

## Le contexte

Une faille dans GitLab CE/EE permettait, dans certaines versions, à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur GitLab via une expression régulière mal validée dans la configuration CI/CD.

## Vecteur d'attaque

Exécution de code sur le serveur GitLab via une configuration CI/CD mal validée.

## Systèmes impactés

| Produit | Versions affectées | Versions corrigées |
| --- | --- | --- |
| GitLab CE/EE | versions 19.2 avant 19.2.8, 19.3 avant 19.3.5, 19.4 avant 19.4.2 | 19.2.8 ; 19.3.5 ; 19.4.2 |

Statut du correctif : Correctifs déployés dans les versions patch

## La vulnérabilité

### CVE-2026-97229 : Code Execution via RCE

GitLab · CVSS 10.0

GitLab CI/CD configuration pouvait permettre l’exécution arbitraire de code sur le serveur par une entrée mal validée.

Impact : Contrôle total possible du serveur GitLab si authentification non requise.

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H`

## Recommandations

- Mettre à jour GitLab vers les versions patch
- Vérifier les configurations CI/CD et les accès externes

## Ce qu'il faut retenir

Mettez à jour GitLab vers les versions patch recommandées et revoyez les configurations CI/CD exposées.

Analyse issue du bulletin de veille Kreomnis du 14 octobre 2026 (fenêtre : 13 octobre 2026). Sources croisées listées ci-dessous.

- Kreomnis Vigie

## Références

- [GitLab Advisory](https://github.com/advisories/GHSA-9hj5-r43h-h3xg) (vendor)
- [NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-97229) (nvd)

Source : Kreomnis Vigie, https://kreomnisvigie.com/cve/cve-2026-97229-gitlab. Analyse à usage défensif uniquement.