7 min. Temps de lecture<\/p>\n
Pillar Security a signal\u00e9 le 16 avril 2026 une vuln\u00e9rabilit\u00e9 dans la CLI Google Gemini, que Google a corrig\u00e9e le 24 avril dans le cadre du GHSA-wpqr-6v78-jr5g. Score CVSS : 10,0. Un contributeur \u00e0 partir d\u2019un extranet a pu ex\u00e9cuter du code sur un CI-Runner avant m\u00eame l\u2019initialisation de la sandbox. Ceux qui utilisent encore la version 0.38 ou ant\u00e9rieure de la CLI Gemini dans leur stack de pipeline rencontrent un probl\u00e8me multi-tenants qui ne se manifeste pas dans la console de leur propre cloud.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Connexes :<\/span>Platform Engineering Compliance NIS2\/DORA<\/a> \/<\/span> Google Gemini dans l\u2019entreprise<\/a><\/p>\n Qu\u2019est-ce que la vuln\u00e9rabilit\u00e9 de la CLI Gemini GHSA-wpqr-6v78-jr5g ?<\/strong> Il s\u2019agit d\u2019une faille d\u2019ex\u00e9cution de code \u00e0 distance dans la CLI Google Gemini et dans l\u2019action GitHub associ\u00e9e, qui a permis \u00e0 un contributeur \u00e0 partir d\u2019un extranet d\u2019ex\u00e9cuter des commandes sur le CI-Runner avant m\u00eame l\u2019initialisation de la sandbox. Google a \u00e9valu\u00e9 cette vuln\u00e9rabilit\u00e9 avec un score CVSS de 10,0, ce qui correspond \u00e0 la gravit\u00e9 maximale selon l\u2019\u00e9chelle CVSS-3.1. Les versions correctives sont Gemini-CLI 0.39.1 et google-github-actions\/run-gemini-cli 0.1.22.<\/p>\n La m\u00e9canique est nettement plus sp\u00e9cifique que la description habituelle des CVE. Pillar Security a d\u2019abord d\u00e9montr\u00e9 l\u2019attaque sur le d\u00e9p\u00f4t Google draco, puis directement sur la CLI Gemini le 20 avril. Le d\u00e9clencheur \u00e9tait un pull request contenant des donn\u00e9es de travail pr\u00e9par\u00e9es. Dans le mode headless de la CLI, le r\u00e9pertoire de travail \u00e9tait trait\u00e9 comme fiable sans aucune confirmation suppl\u00e9mentaire ; une configuration .gemini locale pouvait \u00eatre charg\u00e9e, et le mode –yolo ignorait les listes d\u2019autorisation des outils tr\u00e8s fines.<\/p>\n Le r\u00e9sultat fut un chemin d\u2019injection de prompt qui conduisit \u00e0 des commandes shell arbitraires. Le runner consid\u00e9ra cette s\u00e9quence comme une instruction d\u2019IA l\u00e9gitime, alors que le d\u00e9marrage de la sandbox arrivait trop tard, les credentials ayant d\u00e9j\u00e0 \u00e9t\u00e9 collect\u00e9es. Ceux qui op\u00e9raient dans un d\u00e9p\u00f4t open-source o\u00f9 les pull requests de contributeurs externes \u00e9taient test\u00e9es de mani\u00e8re routini\u00e8re ont connu un bypass ouvert pendant des semaines, sans que rien dans le journal d\u2019audit ne r\u00e9v\u00e8le l\u2019existence de l\u2019attaque.<\/p>\n Les architectes cloud connaissent le r\u00e9flexe du score CVSS \u00e0 10 : mains sur la table, plan de correction, audit. Ce qui rend Gemini-CLI particuli\u00e8rement d\u00e9licat, c\u2019est sa nature structurelle : il s\u2019ex\u00e9cute dans un contexte CI\/CD avec les droits hautement privil\u00e9gi\u00e9s de la pipeline. Une pipeline compromise peut ainsi construire des images de conteneurs sign\u00e9es, renouveler des identifiants cloud, d\u00e9ployer des charts Helm ou manipuler les \u00e9tats Terraform.<\/p>\n Ceux qui travaillent sur une plateforme multi-locataires en ressentent d\u2019autant plus l\u2019impact. Un job de pipeline qui produit pour plusieurs clients pourrait, en cas d\u2019exploitation RCE, potentiellement mettre en mouvement des donn\u00e9es ou des artefacts de build appartenant \u00e0 des mandants externes. Quant \u00e0 un job de pipeline qui ne concerne que son propre mandant mais s\u2019ex\u00e9cute sur une instance Cloud Run partag\u00e9e, il offre \u00e0 l\u2019attaquant une cible potentielle pour un mouvement lat\u00e9ral.<\/p>\n Ce n\u2019est pas le premier incident CVSS-10 chez un hyperscaler cette ann\u00e9e. Le CVE-2026-32202 a contraint la CISA \u00e0 inscrire ce probl\u00e8me sur la liste KEV en avril, imposant des d\u00e9lais et une pression accrue aux agences f\u00e9d\u00e9rales. L\u2019enseignement est clair : les CLI d\u2019intelligence artificielle sont des logiciels comme n\u2019importe quel autre outil de construction, et ils doivent \u00eatre soumis au m\u00eame processus de patching, d\u2019audit et de mise en liste blanche.<\/p>\n Ce qui nuit<\/p>\n Ce qui aide<\/p>\n La colonne de gauche n\u2019est pas th\u00e9orique. Quiconque a int\u00e9gr\u00e9 Gemini-CLI dans une action au cours des trois derniers mois devrait aujourd\u2019hui consulter les journaux d\u2019ex\u00e9cution du CI afin d\u2019y rep\u00e9rer des configurations d\u2019espace de travail pr\u00e9par\u00e9es sp\u00e9cifiquement avant la premi\u00e8re action de l\u2019outil. Pillar Security met \u00e0 disposition une liste d\u2019indicateurs de compromission dans son rapport publi\u00e9. Cette liste doit \u00eatre int\u00e9gr\u00e9e \u00e0 votre SIEM personnel avant le d\u00e9but de la prochaine session d\u2019audit.<\/p>\n La f\u00e9d\u00e9ration d\u2019identit\u00e9 de charge de travail constitue le deuxi\u00e8me levier souvent sous-estim\u00e9. Un run de pipeline qui ne tire pas ses identifiants GCP d\u2019un compte de service statique, mais les f\u00e9d\u00e8re \u00e0 chaque ex\u00e9cution via OIDC, n\u2019a pas de jeton persistant \u00e0 risquer en cas d\u2019exploitation RCE.<\/p>\n Deux semaines sont r\u00e9alistes si l\u2019\u00e9quipe plateforme s\u2019engage dans l\u2019\u00e9pinglage strict de la version de l\u2019Action et ne planifie pas parall\u00e8lement la prochaine migration de plateforme. Ceux qui g\u00e8rent plusieurs tenants devront ajouter, durant les troisi\u00e8me et quatri\u00e8me semaines, les listes blanches d\u2019outils par mandant, ce qui repr\u00e9sente un effort suppl\u00e9mentaire mais n\u2019introduit pas de nouvelle architecture op\u00e9rationnelle.<\/p>\n Pillar Security a signal\u00e9 le bug dans le cadre d\u2019un programme de r\u00e9compenses, sans en divulguer le montant. Cela est courant dans le contexte du VRP de Google et ne donne aucune indication sur la gravit\u00e9. Plus important encore est le sch\u00e9ma observ\u00e9 : les CLI IA deviennent la premi\u00e8re ligne de d\u00e9fense de la s\u00e9curit\u00e9 CI, car elles constituent le lien direct entre une entr\u00e9e de prompt externe et l\u2019ex\u00e9cution shell. La prochaine vague comparable ne concernera probablement pas une CLI, mais une API d\u2019agent int\u00e9gr\u00e9e ou une logique de build pilot\u00e9e par un LLM.<\/p>\n Ainsi, ceux qui appliquent aujourd\u2019hui le correctif \u00e0 Gemini-CLI r\u00e9solvent un incident sp\u00e9cifique. Ceux qui reconfigurent simultan\u00e9ment leur pipeline autour de l\u2019identit\u00e9 de charge de travail, des listes blanches d\u2019outils et de la journalisation d\u2019audit pr\u00e9-bac \u00e0 sable ferment toute une classe de vuln\u00e9rabilit\u00e9s.<\/p>\n Le risque dans les pipelines CI headless est nettement plus \u00e9lev\u00e9 que lors d’une utilisation locale interactive, car l’\u00e9tape de confiance (Trust) y fait d\u00e9faut. En local, c’est le drapeau –yolo qui pose r\u00e9ellement probl\u00e8me. Si vous ne l’avez pas activ\u00e9 localement et utilisez une version inf\u00e9rieure \u00e0 la 0.39.1, il est malgr\u00e9 tout recommand\u00e9 de mettre \u00e0 jour rapidement.<\/p>\n<\/details>\n Non, pas \u00e0 lui seul. Un verrouillage de version sur le 0.1.22 ou un SHA constitue la ligne de base. Il faut \u00e9galement des listes autoris\u00e9es d’outils par t\u00e2che et, id\u00e9alement, un profil Runner s\u00e9par\u00e9 pour les validations de pull request, qui ne conserve aucune identit\u00e9 de service cloud. La d\u00e9fense en profondeur n’est pas ici un slogan th\u00e9orique, mais une r\u00e9alit\u00e9 op\u00e9rationnelle.<\/p>\n<\/details>\n Pillar Security a publi\u00e9 des indicateurs dans son rapport de divulgation. Concr\u00e8tement, on recherche dans les journaux d’ex\u00e9cution des configurations .gemini manipul\u00e9es, charg\u00e9es juste avant la premi\u00e8re op\u00e9ration d’outil, ainsi que des sous-appels shell situ\u00e9s en dehors du p\u00e9rim\u00e8tre de la liste autoris\u00e9e attendue. Une remont\u00e9e historique (lookback) SIEM sur les 30 derniers jours constitue une visibilit\u00e9 minimale appropri\u00e9e.<\/p>\n<\/details>\n La date de correctif s’applique \u00e0 chaque locataire. Ceux qui peuvent appliquer cette mise \u00e0 jour de mani\u00e8re centralis\u00e9e via une mise \u00e0 jour plateforme sont avantag\u00e9s. Ceux qui autorisent des pipelines sp\u00e9cifiques \u00e0 un locataire doivent mettre \u00e0 niveau chaque locataire individuellement vers la version corrig\u00e9e et documenter cette action vis-\u00e0-vis de l’audit.<\/p>\n<\/details>\n Actuellement, cette vuln\u00e9rabilit\u00e9 de Gemini-CLI n’est pas r\u00e9pertori\u00e9e dans la KEV, car Pillar Security l’a signal\u00e9e dans le cadre d’un processus de divulgation responsable et le correctif \u00e9tait disponible avant toute exploitation. Cela n’exclut toutefois pas une inscription future, si une exploitation sur le terrain venait \u00e0 \u00eatre document\u00e9e.<\/p>\n<\/details>\n Conseils de lecture de la r\u00e9daction<\/p>\n Plus depuis le r\u00e9seau MBF Media<\/p>\n\n
Ce que Pillar Security a sp\u00e9cifiquement d\u00e9montr\u00e9<\/h2>\n
Pourquoi cela fait particuli\u00e8rement mal dans les lunettes multi-locataires<\/h2>\n
Mitigations CI\/CD pour les \u00e9quipes cloud : ce qui aide, ce qui nuit<\/h2>\n
\n
\n
Feuille de route des correctifs : de l\u2019audit \u00e0 une pipeline propre<\/h2>\n
Ce qui reste en suspens<\/h2>\n
Foire aux questions<\/h2>\n
Suis-je concern\u00e9 si j’utilise Gemini-CLI uniquement en local ?<\/strong><\/summary>\n
Un verrouillage de version dans l’action GitHub suffit-il ?<\/strong><\/summary>\n
Comment savoir si la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 exploit\u00e9e ces derni\u00e8res semaines ?<\/strong><\/summary>\n
Que signifie cela pour les \u00e9quipes de plateformes multi-locataires ?<\/strong><\/summary>\n
Existe-t-il un lien direct avec la KEV de la CISA ?<\/strong><\/summary>\n
\n