Description de la faille de traversée de répertoires

Le CVE-2026-85706, noté CVSS 10.0, exploite l’API repository commits de GitLab. L’absence d’authentification et une mauvaise confinement du chemin permettent à un acteur externe d’envoyer une requête HTTP spécialement formatée et de récupérer n’importe quel fichier du serveur, y compris config/gitlab.yml, des clés SSH ou les identifiants de base de données. La portée affectée couvre les versions CE et EE de 18.7 à 19.1.7, 19.2.0‑19.2.5 et 19.3.0‑19.3.1, soit la majorité des installations auto‑gérées déployées l’an passé. Le correctif a été intégré dans les versions 19.3.2, 19.2.6 et 19.1.8 publiées le 10 septembre.

Mécanismes de la seconde vulnérabilité GraphQL

Le CVE-2026-87719 (CVSS 9.9) cible l’Enterprise Edition. Il s’agit d’une désérialisation non sécurisée dans le sérialiseur d’abonnements GraphQL. Un utilisateur authentifié disposant de l’accès Duo Chat peut injecter un argument GraphQL malveillant, déclenchant la désérialisation et exposant les paramètres de configuration d’Advanced Search ainsi que les jetons d’accès associés. Cette chaîne d’exploitation, bien que nécessitant une authentification, s’appuie sur le même vecteur d’API que la première faille, créant un chemin de zéro accès à vol de crédentiels.

Analyse de l’impact et des contraintes de mise à jour

Outre les deux vulnérabilités critiques, le correctif inclut un débordement de tampon (CVSS 8.5) dans le wrapper de conversion Unicode, qui peut entraîner une exécution de code à distance lors de l’import d’un projet malveillant dans l’indexation Advanced Search. D’autres correctifs portent sur l’exposition de variables CI/CD protégées, une faille XSS dans le rendu JSON des tables Markdown, et deux DoS dans le limiteur de complexité GraphQL. La note d’avis indique que certaines migrations de base de données peuvent provoquer une interruption de service sur les déploiements mononœuds, imposant une planification immédiate plutôt qu’un report au sprint suivant.

Enjeux de la cadence de correctifs

Le suivi de watchTowr montre que des sondages actifs ont commencé dès la divulgation publique, réduisant la fenêtre de protection à quelques heures. Cette dynamique « machine‑speed probing » dépasse largement les cycles de mise à jour mensuels ou trimestriels habituels. Les équipes DevOps doivent donc mesurer le délai entre l’avis de sécurité et le déploiement en production, et envisager des fenêtres de correctif automatisées pour les installations auto‑gérées exposées à Internet. Sans cette réactivité, la surface d’attaque des plateformes DevOps, déjà élargie par les fonctionnalités AI et les API multiples, restera un vecteur privilégié pour les attaquants.