GitLab a publié le 10 septembre 2026 les versions 19.3.2, 19.2.6 et 19.1.8 pour corriger dix-huit failles, dont une lecture de fichier arbitraire sans authentification via l’API des commits et une désérialisation notée CVSS 9,9. Toute instance auto-hébergée exposée doit être mise à jour sans attendre, et les secrets des variables CI/CD passés en revue.
Le 26 août 2026, GitLab publie un correctif pour CVE-2026-18252, une faille de l’agent IA Duo Claude qui permet à un développeur authentifié d’exécuter des commandes arbitraires dans un contexte CI via une configuration contrôlée par l’utilisateur. La leçon dépasse GitLab : un agent d’IA branché sur le CI est une nouvelle surface d’exécution, et la configuration qu’il consomme fait désormais partie de la frontière de sécurité.
Le 18 août 2026, GitLab publie des correctifs pour deux failles, dont une injection de code critique via une directive GraphQL (CVE-2026-19478, CVSS 9.4) exploitable à distance sans authentification ni interaction, permettant de modifier ou supprimer des projets publics. Toute installation auto-hébergée doit être mise à niveau immédiatement — GitLab.com et GitLab Dedicated sont déjà corrigés.
GitLab étend son Secrets Manager, propulsé par OpenBao, à l’External Secrets Operator, à Terraform et à une API directe, au-delà du seul CI/CD. L’objectif est de remplacer les magasins de secrets éparpillés entre CI/CD, Kubernetes et IaC par une source unique et auditée.
GitLab 19.0 sort le 21 mai 2026 avec un Secrets Manager natif, des merge requests pilotées par IA et un scanner SBOM. La plateforme referme le fossé entre l’écriture du code et son déploiement sécurisé — là où GitHub Copilot s’arrête encore à l’IDE.
