GitLab CVE-2026-85706 : lecture de fichiers arbitraires sans authentification (CVSS 10), scans dès les premières heures
> En bref : CVE-2026-85706 (CVSS 10.0) est un path traversal dans l'API repository commits de GitLab CE/EE, doublé d'un défaut d'authentification, qui permet à un utilisateur non authentifié de lire des fichiers arbitraires sur le serveur — sous une seule condition : qu'au moins un projet public existe. GitLab évoque un « confinement de chemin impropre et une application d'authentification manquante » dans cette API. watchTowr a observé des probes actives dès 06h00 UTC le 11 septembre 2026, visant la lecture de logs et fichiers de configuration pour extraire credentials et secrets. Le CISA a ajouté la faille au KEV le 11 septembre avec échéance au 14 septembre. Les versions corrigées sont 19.1.8, 19.2.6 et 19.3.2, qui corrigent aussi une désérialisation critique en EE (CVE-2026-87719, CVSS 9.9).
Ce que la faille permet vraiment
Une lecture de fichiers paraît moins spectaculaire qu'une exécution de code — c'est une erreur d'appréciation classique. Sur un serveur GitLab, les fichiers lisibles incluent les fichiers de configuration de l'instance (secrets d'application, clés de base de données, tokens d'intégration) et les logs, qui contiennent des fragments de credentials, des identifiants de session et des adresses internes. Un attaquant qui lit la configuration GitLab obtient souvent de quoi pivoter : base de données, registre conteneur, intégrations CI, et parfois directement des secrets de pipeline.
L'exigence « au moins un projet public » est une barrière symbolique : la majorité des instances self-hosted exposées en ont au moins un (documentation, mirror, projet open source). Et c'est la deuxième faille critique GitLab en quelques semaines, après l'injection GraphQL CVE-2026-19478 — couverte ici en août — presque immédiatement exploitée après divulgation. watchTowr résume la logique d'attaque : GitLab concentre code source, secrets CI/CD et capacité d'empoisonner les pipelines de build — tout ce qui est en aval devient accessible.
Détection : une signature simple
GitLab et watchTowr donnent l'indicateur le plus actionnable de la semaine : chercher dans les logs les requêtes HTTP POST vers /api/v4/projects/{id}/repository/commits/ dont les paramètres contiennent un champ file.Path suspect (chemins absolus, séquences de traversal). Toute occurrence avant le patch est à traiter comme une exfiltration potentielle de configuration.
Ce qu'il faut faire
La leçon plus large
Deux failles critiques consécutives sur la même surface (l'API GitLab) en trois semaines, toutes deux massivement scannées en moins d'un jour : le rythme de conversion divulgation-vers-exploitation ne laisse plus de place au « je patcherai au prochain cycle ». Pour les équipes qui hébergent leur propre GitLab, la question de fond est celle de l'exposition : chaque API publique d'une instance interne est une porte de lecture sur vos secrets. L'auditer — endpoints, authentification réellement appliquée, confinement des chemins — est un travail de fond, pas une vérification ponctuelle.
Vous éditez un logiciel RH, paie ou recrutement ? CleanIssue réalise des audits de sécurité pour SaaS RH en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.
Articles liés
Trois analyses proches pour continuer la lecture sur la meme surface de risque.
Rails Active Storage : une faille critique avec lecture de fichiers arbitraires et potentiel de RCE
Une vulnérabilité critique dans le framework Active Storage de Rails permet à un attaquant non authentifié de lire des fichiers arbitraires sur le serveur applicatif, avec un potentiel d'escalade vers l'exécution de code à distance. Affecte les applications Ruby on Rails utilisant Active Storage. Correctif disponible.
N-able N-central CVE-2026-86218 : RCE pré-authentification CVSS 10 exploitée, un mois après la faille d’août
Une injection de code statique (CVE-2026-86218, CVSS 10.0) permet une exécution de code à distance sans authentification dans N-central, corrigée par le Hotfix 4 du 5 septembre. N-able confirme une exploitation active, le CISA l'ajoute au KEV (échéance 11 septembre), et Huntress enquête sur un serveur client entièrement patché compromis le 4 septembre. Deux failles chaînables du même jour permettent de créer un compte administrateur.
Next.js CVE-2026-75604 : RCE non authentifiée sur Windows et heap overflow AVIF — patchs d'urgence du 25 août
Vercel corrige deux failles critiques Next.js : un path traversal exploitable sans authentification quand le serveur tourne sur un filesystem Windows (CVE-2026-75604, CVSS 9.0, aucun workaround), et un heap buffer overflow dans la chaîne sharp/libheif déclenché par une image AVIF malveillante (CVSS v4 9.5). Correctifs : 15.5.24 et 16.3.3. Les déploiements hébergés par Vercel sont protégés.
Sources
Services associés
Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.