Vulnérabilité critique CVSS 9.9 dans GitLab AI Gateway : mise à jour impérative pour les déploiements auto-hébergés

Une faille de sécurité notée 9,9 sur 10 dans le GitLab AI Gateway expose les organisations qui hébergent leur propre passerelle à un risque d’exécution de commande à distance. Découverte le 2 octobre 2026 et identifiée sous la référence CVE-2026-90970, cette vulnérabilité critique concerne uniquement les instances auto-hébergées du gateway, c’est-à-dire celles où l’entreprise gère elle-même l’infrastructure de connexion aux modèles d’IA. GitLab a publié des correctifs d’urgence pour les versions 19.2.4, 19.3.2 et 19.4.1. Toute organisation utilisant un gateway auto-hébergé doit appliquer la mise à jour sans délai, car aucun contournement n’existe.

Une faille d’exécution de commande notée 9,9/10

Le GitLab AI Gateway est le service qui fait le pont entre une instance GitLab et des modèles d’intelligence artificielle (IA). Il permet aux équipes de développement d’intégrer des assistants IA dans leurs pipelines CI/CD, d’automatiser des révisions de code ou encore de générer des suggestions contextuelles. Si la plupart des clients de GitLab utilisent un gateway hébergé par l’éditeur (GitLab.com ou GitLab Dedicated), certaines organisations choisissent de déployer leur propre passerelle pour des raisons de confidentialité des données.

“The flaw is rated critical, with a CVSS score of 9.9 out of 10” - GitLab Security Advisory, 2 octobre 2026

Ce score place cette faille parmi les plus graves jamais corrigées sur la plateforme. À titre de comparaison, le Common Vulnerability Scoring System attribue un score de 10 à une vulnérabilité théoriquement maximale. Un score de 9,9 indique un impact quasi total sur la confidentialité, l’intégrité et la disponibilité des systèmes concernés.

Un précédent inquiétant en février 2026

Ce n’est pas la première fois que le GitLab AI Gateway est le théâtre d’une faille aussi sévère. En février 2026, GitLab avait corrigé CVE-2026-1868, également notée 9,9, qui permettait à un utilisateur connecté d’exécuter du code sur le gateway via une définition de flux malveillante. Les deux vulnérabilités appartiennent à la même classe : une faiblesse du moteur de templates, référencée sous CWE-1336 (injection de templates côté serveur). Cette récurrence souligne la nécessité d’une vigilance accrue sur les composants d’IA, dont la surface d’attaque s’élargit.

Selon les données de CISA, aucune exploitation active de CVE-2026-90970 n’a été constatée au moment de la divulgation. L’agence américaine de cybersécurité a attribué la mention “none” pour l’exploitation, mais rappelle que l’absence de preuve de concept publique ne garantit pas l’absence de menaces.

Versions concernées et correctifs disponibles

Le correctif est fourni sous forme de nouvelles versions du gateway (et non de GitLab lui-même). Seules les organisations qui hébergent leur propre gateway sont concernées. Les clients utilisant le gateway hébergé par GitLab (GitLab.com, GitLab Dedicated) n’ont aucune action à entreprendre.

Attention : Aucune version de correction n’est disponible pour les lignes antérieures à 19.2.4 (notamment les séries 18.x et 19.0/19.1). GitLab n’a pas indiqué si des correctifs backportés sont prévus. Les administrateurs doivent donc impérativement passer à une version prise en charge (19.2, 19.3 ou 19.4) pour bénéficier du correctif.

Procédure de mise à jour recommandée

• Déploiement Docker : arrêter et supprimer le conteneur en cours, puis récupérer la nouvelle image (par exemple self-hosted-v19.4.1-ee) et relancer le conteneur.
• Déploiement Helm : mettre à jour le tag de l’image dans le paramètre image du chart Helm, puis appliquer la modification.

# Exemple pour Docker
docker stop gitlab-ai-gateway
docker rm gitlab-ai-gateway
docker pull gitlab/gitlab-ai-gateway:self-hosted-v19.4.1-ee
docker run -d --name gitlab-ai-gateway [options] gitlab/gitlab-ai-gateway:self-hosted-v19.4.1-ee

GitLab recommande de toujours utiliser une image du gateway dont la version mineure correspond à celle de votre instance GitLab. Toutefois, l’éditeur ne précise pas si un gateway 19.2.4 peut fonctionner avec GitLab 19.1 ou inférieur. En cas de doute, il est conseillé de contacter le support technique.

Détails techniques : une sandbox contournée via un flux personnalisé

La vulnérabilité réside dans le mécanisme de prompt template d’un flux personnalisé (custom flow) de la Duo Agent Platform. Cette plateforme permet aux utilisateurs de créer des workflows automatisés multi-étapes pilotés par l’IA.

“A logged-in user with Duo Agent Platform access could have used the flaw to escape the prompt template sandbox via a specially crafted flow configuration” - GitLab Advisory

L’échappement de la sandbox du template peut conduire à une exécution arbitraire de commandes sur le gateway. Les conditions précises d’exploitation n’ont pas été divulguées, mais il est précisé que l’attaquant doit être un utilisateur connecté disposant d’un accès à la Duo Agent Platform. Aucun rôle utilisateur spécifique n’est mentionné au-delà de cet accès.

Quels sont les risques concrets ?

Un gateway auto-hébergé stocke des clés de signature pour les JSON Web Tokens (JWT) utilisés pour authentifier les requêtes entre GitLab et le gateway. Selon le guide d’installation de GitLab, ces clés doivent être traitées comme des informations d’identification sensibles. Le gateway a également accès à l’instance GitLab et aux fournisseurs de modèles d’IA de l’organisation. Une compromission pourrait donc permettre à un attaquant de :

1. Usurper l’identité du gateway et intercepter les échanges entre GitLab et les modèles d’IA.
2. Voler les clés JWT et les utiliser pour accéder à d’autres ressources GitLab.
3. Altérer les réponses des modèles en injectant des commandes dans les prompts transmis.
4. Prendre le contrôle complet du serveur hébergeant le gateway, ouvrant la voie à un mouvement latéral dans le réseau interne.

Dans le contexte français, les entreprises soumises à des réglementations strictes (RGPD, secteurs critiques comme la santé ou la défense) doivent redoubler de prudence. L’ANSSI rappelle régulièrement que les composants d’IA doivent être isolés et surveillés comme des actifs critiques.

Pas de contournement : la mise à jour est la seule option

GitLab n’a publié aucune mesure de contournement (workaround) pour les versions vulnérables. La seule action recommandée est l’application immédiate du correctif. L’éditeur a d’ailleurs prévenu ses clients auto-hébergés par e-mail avant même la publication officielle de l’avis de sécurité, signe de l’urgence perçue.

“We strongly recommend that those customers update immediately.” - GitLab, communiqué interne cité dans l’advisory

Aucun outil de vérification post-exploitation n’est fourni. Si vous suspectez que votre gateway a été compromis avant la mise à jour, une analyse forensique complète du serveur est nécessaire.

Recommandations pour les administrateurs GitLab auto-hébergés

Pour limiter les risques liés à cette vulnérabilité et aux futures failles de même nature, nous vous conseillons d’adopter les bonnes pratiques suivantes :

Actions immédiates

• Mettre à jour le gateway vers une version corrigée (19.2.4, 19.3.2 ou 19.4.1) sans attendre.
• Vérifier que votre version de GitLab est compatible avec la nouvelle version du gateway (privilégier une mise à jour de GitLab si nécessaire).
• Restreindre les accès à la Duo Agent Platform aux seuls utilisateurs qui en ont besoin. Révoquer les droits temporaires ou inutilisés.
• Contrôler les logs du gateway pour détecter d’éventuelles tentatives d’exploitation avant la mise à jour.

Mesures structurelles

• Isoler le gateway dans un réseau dédié, avec des règles de pare-feu strictes limitant les connexions sortantes aux seuls fournisseurs d’IA autorisés.
• Surveiller les flux de données entre GitLab et le gateway avec un outil de détection d’intrusion (IDS) ou un Web Application Firewall (WAF) capable d’analyser les requêtes suspectes.
• Appliquer le principe du moindre privilège aux comptes de service et aux clés JWT.
• Planifier les mises à jour des composants d’IA dans le cycle de gestion des correctifs, au même titre que les correctifs de sécurité des autres services.

Enfin, les organisations qui hésitent encore entre un gateway auto-hébergé et une solution SaaS doivent intégrer ce type d’incident dans leur analyse des risques. La maîtrise des données a un coût opérationnel non négligeable en termes de sécurité.

Conclusion : agir sans délai pour sécuriser son AI Gateway

La faille CVE-2026-90970 dans GitLab AI Gateway est une alerte sérieuse pour toutes les entreprises qui ont choisi d’héberger leur propre passerelle IA. Avec un score CVSS de 9,9 et une exploitation technique décrite comme une “évasion de sandbox”, cette vulnérabilité peut conduire à une prise de contrôle complète du serveur. Bien qu’aucune attaque n’ait été confirmée à ce jour, l’absence de contournement rend la mise à jour impérative.

Les administrateurs français doivent immédiatement identifier la version de leur gateway, appliquer le correctif et renforcer les contrôles d’accès à la Duo Agent Platform. La gravité de cette faille rappelle que l’IA, aussi prometteuse soit-elle, introduit de nouvelles surfaces d’attaque qu’il faut anticiper. Ne pas agir maintenant expose votre organisation à un risque bien trop élevé.