← Accueil actu | Salle du marché
2026-09-16 · Source：InfoWorld
Une faille de path traversal de sévérité maximale dans l'API des commits de GitLab permet aux attaquants d'exfiltrer identifiants et secrets, déclenchant des appels à un correctif urgent pour la plateforme utilisée par la moitié du Fortune 100.
GitLab a divulgué et corrigé CVE-2026-85706, une vulnérabilité de sévérité maximale notée un 10 parfait qui constitue la deuxième divulgation de sécurité de la société en un mois à peine. La faille est un problème de path traversal enraciné dans un confinement inapproprié et l'absence d'application de l'authentification dans l'API des commits de dépôts de GitLab. Selon la société, des acteurs malveillants pourraient l'exploiter sous certaines conditions pour lire des fichiers arbitraires sur des serveurs GitLab vulnérables, le tout via une seule requête HTTP.
L'exposition est sévère en pratique car ces fichiers contiennent habituellement des identifiants, des secrets et d'autres données sensibles. La vulnérabilité affecte à la fois GitLab Community Edition (CE) et Enterprise Edition (EE), et un correctif a déjà été livré. La consigne aux clients exploitant des instances auto-hébergées exposées publiquement est sans détour : patcher immédiatement, ou retirer l'accès public. Pour les entreprises en général, le conseil est de ne pas attendre le cycle de correctif habituel.
L'alerte est amplifiée par l'empreinte considérable de GitLab. La plateforme DevSecOps est utilisée par environ 50 % du Fortune 100 et compte plus de 50 millions d'utilisateurs enregistrés estimés, ce qui signifie qu'une primitive de lecture en une seule requête sur des serveurs non corrigés se traduit par une exposition potentielle à l'échelle de l'entreprise plutôt qu'un risque de niche.
Safayat Moahamad, directeur consultatif chez Info-Tech Research Group, a soutenu que le danger profond réside dans ce qui entoure la plateforme. « GitLab n'est pas simplement un dépôt de code source », a-t-il noté, soulignant que dans de nombreuses entreprises, il est connecté aux pipelines de build, aux processus de déploiement, aux flux de sécurité applicative et à d'autres systèmes de confiance. Un accès non autorisé aux fichiers de configuration, aux secrets ou aux identifiants sur le serveur GitLab pourrait donc « créer des conséquences bien au-delà de l'instance affectée », a-t-il déclaré. Ce cadrage transforme un simple correctif de serveur web en un audit à l'échelle de l'entreprise et en un exercice de rotation des identifiants pour toute organisation qui a tardé.
Mots-clés: GitLab · Safayat Moahamad · CVE-2026-85706 · CI/CD Security · Path Traversal
萬安算交所 AIXX · AIXX · Bourse compute vérifiée · Accéder à la salle