GitLab · 26 octobre 2026 · Cyber & GRC
Pillow : GitLab détaille la faille critique CVE-2026-112900 et sa correction
CVE-2026-112900 est une injection d’arguments dans les appels de Pillow à Ghostscript pour traiter les images EPS, corrigée dans Pillow 13.0.0. GitLab indique que ses produits et son infrastructure gérée ne sont pas affectés. L’article recommande la mise à jour de Pillow et décrit comment repérer les projets concernés avec les outils de GitLab.
Ce qui est annoncé
GitLab publie un guide de détection et de correction consacré à CVE-2026-112900, une vulnérabilité de Pillow classée critique avec un score CVSS 4.0 de 9,2. Elle touche les versions depuis 2.6.0 et antérieures à 13.0.0. Le défaut concerne la transmission de noms de fichiers à Ghostscript lors du rendu d’images EPS : certains noms peuvent être interprétés comme des arguments, avec un risque d’exécution de commandes sous certaines conditions. Aucune exploitation n’est signalée au moment de la publication.
La correction repose sur Pillow 13.0.0. GitLab décrit comment croiser l’analyse des dépendances, celle des conteneurs et la recherche de code pour identifier les projets concernés, puis mobiliser GitLab Duo Agent Platform pour préparer les modifications sous forme de merge requests. Leur validation reste humaine. L’éditeur précise que ses produits ne contiennent pas Pillow et qu’aucun impact n’a été constaté sur son infrastructure gérée. GitLab.com, GitLab Self-Managed et GitLab Dedicated ne sont pas concernés.
Ce que ça change pour les entreprises
Pour les DSI et les équipes IT, la priorité est de retrouver Pillow jusque dans les dépendances indirectes et de vérifier les conditions réelles d’exposition. La présence d’une version vulnérable ne suffit pas : Ghostscript doit être installé et l’application doit charger ou rendre un fichier EPS dont le nom peut être influencé par un attaquant. Les services acceptant des images externes méritent donc une attention particulière. Supprimer Ghostscript lorsque le traitement EPS est inutile constitue une mesure de réduction de l’exposition.
La remédiation doit aussi couvrir les images de conteneurs effectivement déployées, pas uniquement les fichiers de dépendances des dépôts. Pour les paquets fournis par une distribution, GitLab recommande de consulter son suivi de sécurité. Des tests de traitement d’images restent nécessaires, car Pillow 13.0.0 modifie certains comportements TIFF et PNG. Les agents peuvent préparer les changements répétitifs, mais les équipes doivent vérifier les propositions, les fusionner et confirmer le déploiement de la version corrigée.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut accompagner le cadrage de l’inventaire, l’intégration des contrôles de sécurité et l’organisation des corrections. Cet appui peut également porter sur les tests, la vérification des déploiements et l’adoption de pratiques de revue humaine pour les modifications préparées par des agents.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce GitLab du 26 octobre 2026.