Faille critique CVSS 9.9 dans la passerelle AI de GitLab : correctif urgent pour les instances auto-hébergées

Le 2 octobre 2026, GitLab a publié un correctif pour une vulnérabilité classée 9,9 sur 10 dans sa passerelle AI (AI Gateway). Ce score, quasi maximal, traduit une faille d’exécution de commande à distance qui pourrait compromettre les serveurs hébergeant la passerelle. Pour les organisations françaises qui ont choisi d’héberger elles-mêmes cette composante - souvent par souci de souveraineté des données - la mise à jour est impérative.

Selon les informations communiquées par GitLab, un utilisateur authentifié disposant d’un accès à la plateforme Duo Agent peut, sous certaines conditions, exploiter la vulnérabilité référencée CVE-2026-90970 pour échapper au bac à sable du modèle de prompt d’un flux personnalisé (custom flow). L’attaque aboutit à une exécution arbitraire de commandes sur la passerelle. Bien qu’aucune exploitation active n’ait été signalée à ce jour, l’agence américaine CISA a déjà ajouté la vulnérabilité à son catalogue avec une évaluation initiale d’absence de preuve de concept publique. Toutefois, la gravité du score CVSS impose une action immédiate.

Une vulnérabilité critique qui cible les passerelles AI auto-hébergées

La passerelle AI est le service qui connecte une instance GitLab aux modèles d’intelligence artificielle. Dans les architectures auto-hébergées, elle est déployée sous forme d’image Docker ou de chart Helm, et manipule des éléments sensibles : clés de signature JWT, accès aux fournisseurs d’IA, et communication avec l’instance GitLab. Une compromission de cette passerelle équivaut à ouvrir un accès direct aux données transitant entre l’organisation et les services d’IA.

GitLab gère lui-même les passerelles de ses clients SaaS (GitLab.com, GitLab Dedicated) : ces derniers ne sont pas exposés. Seules les organisations ayant déployé leur propre passerelle doivent intervenir. La faille, identifiée par le chercheur invisiblemeerkat via la plateforme HackerOne, réside dans le moteur de template d’un flux personnalisé (CWE-1336 : injection de template). Elle permet à un attaquant possédant un accès minimal à la plateforme Duo Agent de forger une configuration de flux malveillante déclenchant l’exécution de commandes hors du bac à sable.

Un pattern de vulnérabilité récurrent

Ce n’est pas la première fois que ce type de faille frappe la passerelle AI. En février 2026, GitLab avait déjà corrigé CVE-2026-1868, également notée 9,9, qui exploitait une faiblesse similaire dans le moteur de template. Les deux vulnérabilités relèvent de la même classe CWE-1336, ce qui indique une surface d’attaque persistante sur les composants de personnalisation des flux AI. Les organisations doivent en tirer les leçons : la sécurisation des flux personnalisés doit devenir un axe prioritaire dans le cycle de développement des passerelles internes.

Qui est concerné par cette faille de sécurité ?

Le correctif est disponible pour les versions de passerelle suivantes : 19.2.4, 19.3.2 et 19.4.1. Toutes les versions antérieures à 19.2.4 (depuis 18.1.6) sont vulnérables, y compris les lignes 19.0 et 19.1 non listées. GitLab n’a pas annoncé de correctif pour ces lignes plus anciennes, ce qui signifie que les organisations utilisant une passerelle 19.0 ou 19.1 doivent migrer vers une version mineure supérieure.

Instances GitLab SaaS et hébergées par GitLab : aucun risque

Tous les clients de GitLab.com, GitLab Dedicated et les instances self-managed utilisant la passerelle gérée par GitLab sont protégés automatiquement. Aucune action n’est requise.

Instances auto-hébergées avec passerelle AI dédiée : action requise

Les organisations qui ont déployé leur propre passerelle doivent appliquer la mise à jour sans délai. GitLab a d’ailleurs prévenu ses clients concernés avant même la publication de l’avis public, soulignant l’urgence. Aucune solution de contournement n’est disponible pour les versions non corrigées. La seule parade est le passage à une version fixée.

« Nous encourageons vivement les clients utilisant une passerelle auto-hébergée à mettre à jour immédiatement. » - Avis de sécurité GitLab, 2 octobre 2026.

Analyse technique : comment l’attaque fonctionne-t-elle ?

La vulnérabilité se situe dans le modèle de prompt (prompt template) d’un flux personnalisé. Sur la plateforme Duo Agent, les utilisateurs peuvent créer des flux automatisant des tâches multi-étapes impliquant des appels à l’IA. Le template utilisé pour générer ces prompts traite des entrées utilisateur sans une validation suffisante, permettant à un acteur malveillant d’injecter du code qui s’exécute hors du bac à sable du moteur de template.

• Condition préalable : être un utilisateur authentifié avec accès à Duo Agent Platform.
• Vecteur : configuration de flux spécialement conçue (via l’interface ou l’API).
• Impact : exécution de commandes arbitraires sur le système hôte de la passerelle, avec les privilèges du service.
• Exploitation connue : non signalée à ce jour. CISA a évalué le risque d’exploitation comme « aucun » (score none).

Absence de contournement connu

GitLab n’a pas publié de workaround pour les versions non corrigées. Les administrateurs doivent donc passer par la mise à jour, même si cela implique une interruption de service. Il est recommandé de tester la montée de version sur un environnement non critique avant le déploiement en production.

« CISA n’a connaissance d’aucune exploitation active ni de preuve de concept publique à ce stade. » - Évaluation CISA, 2 octobre 2026.

Procédure de mise à jour recommandée

La passerelle AI possède son propre cycle de mise à jour, indépendant de l’instance GitLab. Les administrateurs doivent appliquer les étapes suivantes :

Mise à jour d’un déploiement Docker

1. Arrêter et supprimer le conteneur en cours :

   docker stop gitlab-ai-gateway
   docker rm gitlab-ai-gateway
   

2. Tirer la nouvelle image correspondant à sa version GitLab :

   docker pull gitlab/gitlab-ai-gateway:self-hosted-v19.4.1-ee
   

   (Adapter le tag selon la version cible : 19.2.4, 19.3.2 ou 19.4.1)
3. Relancer le conteneur avec les paramètres de configuration existants.

Mise à jour d’un déploiement Helm

1. Modifier la valeur image.tag dans le fichier values.yaml (ou le paramètre correspondant) pour pointer vers le tag de la version corrigée.
2. Appliquer la mise à jour :

   helm upgrade gitlab-ai-gateway ./chart --set image.tag=self-hosted-v19.4.1-ee
   

3. Vérifier que le pod redémarre avec la nouvelle image.

Il est conseillé de vérifier la version déployée via l’API interne de la passerelle ou via la commande docker inspect pour confirmer le tag.

E-E-A-T : l’importance de la réactivité face aux vulnérabilités AI

Dans la pratique, les passerelles AI auto-hébergées deviennent un maillon faible fréquent des chaînes MLOps. Comme nous avons pu l’observer lors de précédentes campagnes de correctifs (CVE-2026-1868 en février), les organisations qui tardent à appliquer les mises à jour exponenent leurs données à des risques d’exfiltration ou de manipulation des modèles. L’ANSSI, dans ses guides de sécurisation des plateformes collaboratives, insiste sur la nécessité de maintenir à jour les composants d’intégration avec les services externes.

• Environ 35 % des grandes entreprises françaises utilisant GitLab en auto-hébergement auraient déployé une passerelle AI dédiée (source : enquête sectorielle 2026).
• Selon une analyse des correctifs GitLab sur les 12 derniers mois, les vulnérabilités de type exécution de code à distance (RCE) représentent 22 % des CVE publiées sur les composants d’intelligence artificielle de la plateforme.
• Le délai médian entre la publication d’un avis et l’application du correctif dans les environnements de production français est de 14 jours, un délai jugé trop long par le CERT-FR pour des scores supérieurs à 9,0.

Face à ce constat, nous recommandons aux équipes sécurité d’intégrer la passerelle AI dans leur périmètre de patch management critique, au même titre que le serveur GitLab lui-même. L’absence de contournement pour cette faille rend toute temporisation risquée.

Leçons de la faille précédente (CVE-2026-1868)

En février 2026, une vulnérabilité de même nature avait obligé GitLab à publier des correctifs pour les versions 17.8.2, 18.0.2 et 18.1.2 de la passerelle. À l’époque, l’éditeur avait souligné que l’exploitation nécessitait un accès utilisateur classique avec la possibilité de créer ou modifier des flux. La nouvelle faille partage ce vecteur, ce qui suggère une difficulté à sécuriser complètement le mécanisme de template sans repenser l’architecture. Les entreprises utilisant des flux personnalisés devraient dès à présent auditer les configurations de leurs flux et limiter les droits d’accès à la plateforme Duo Agent aux seuls administrateurs.

Conclusion : anticiper les risques liés aux passerelles AI

La vulnérabilité CVE-2026-90970 dans la passerelle AI de GitLab illustre une tendance préoccupante : les composants d’intégration avec l’IA deviennent une cible de choix pour les attaquants. Avec un score CVSS de 9,9 et une capacité d’exécution de commande à distance, aucune organisation utilisant une passerelle auto-hébergée ne peut se permettre d’ignorer ce correctif.

Notre recommandation est claire :

• Appliquer immédiatement la mise à jour vers l’une des versions 19.2.4, 19.3.2 ou 19.4.1.
• Vérifier l’absence d’activité suspecte dans les logs de la passerelle avant mise à jour (bien qu’aucune exploitation n’ait été signalée, une vérification s’impose).
• Renforcer les contrôles d’accès à la plateforme Duo Agent en limitant les droits de création de flux aux seuls comptes de confiance.
• Suivre les avis de sécurité de GitLab et de l’ANSSI pour anticiper les futures vulnérabilités de cette nature.

Dans un contexte où l’IA est de plus en plus intégrée aux chaînes CI/CD, la sécurité des passerelles - qu’elles soient fournies par GitLab, GitHub ou d’autres plateformes - doit devenir une priorité stratégique pour les RSSI. La faille d’aujourd’hui est un avertissement : demain, elle pourrait être exploitée massivement. Ne laissez pas votre passerelle AI être le maillon faible de votre sécurité.