Mise à jour de sécurité : incident lié à l'instance GitLab des services de consulting Red Hat

Nous vous fournissons une mise à jour concernant un incident de sécurité lié à un environnement GitLab spécifique utilisé par notre équipe de consulting Red Hat. Red Hat prend très au sérieux la sécurité et l'intégrité de nos systèmes et des données qui nous sont confiées, et nous traitons ce problème en y accordant une priorité élevée. 

Ce qu'il s'est passé

Nous avons récemment détecté un accès non autorisé à une instance GitLab utilisée pour la collaboration interne de notre équipe de consulting Red Hat dans le cadre de certains projets. Dès la détection, nous avons rapidement lancé une enquête approfondie, supprimé l'accès de la partie non autorisée, isolé l'instance et contacté les autorités compétentes. Notre enquête, en cours, a révélé qu'un tiers non autorisé avait accédé à certaines données de cette instance et les avait copiées.

Désormais, nous avons mis en œuvre d'autres mesures de renforcement visant à empêcher tout accès ultérieur et à contenir le problème. 

Portée et impact sur les clients

Nous comprenons que vous vous demandez peut-être si cet incident vous affecte. Sur la base de notre enquête à ce jour, nous pouvons confirmer ce qui suit :

• Conséquences sur les produits et la chaîne d'approvisionnement Red Hat : pour le moment, nous n'avons aucune raison de penser que ce problème de sécurité affecte nos autres services ou produits Red Hat, y compris notre chaîne d'approvisionnement logicielle ou le téléchargement de logiciels Red Hat via des canaux officiels.
• Clients des services de consulting : si vous êtes un client des services de consulting Red Hat, notre analyse est en cours. L'instance GitLab compromise hébergeait des données d'engagement de consulting, qui peuvent inclure, par exemple, des spécifications de projet de Red Hat, des exemples d'extraits de code, des communications internes au sujet des services de consulting, ainsi que des coordonnées professionnelles limitées. Nous vous informerons directement si nous pensons que vous avez été touchés.
• Autres clients : si vous n'êtes pas un client des services de consulting Red Hat, il n'y a actuellement aucune preuve que vous avez été touchés par cet incident.

Pour plus de clarté, cet incident n’est pas lié à une vulnérabilité Red Hat OpenShift AI (CVE-2025-10725) qui a été annoncée hier.

Prochaines étapes

Nous échangeons directement avec les clients qui peuvent être concernés.

Merci pour votre confiance continue en Red Hat. Nous vous sommes reconnaissants de votre patience pendant que nous poursuivons notre enquête.