El equipo de desarrollo detrás de la distribución Alpine Linux se ha convertido en objetivo de una campaña de ataques contra instancias vulnerables de GitLab. Aunque aún no está claro si el sistema objetivo fue comprometido con éxito, los desarrolladores han decidido reconstruir completamente su instancia de GitLab desde cero como medida de precaución de seguridad. Este incidente sirve como advertencia para otros administradores, haciendo eco de las alertas emitidas por la Agencia de Seguridad Cibernética e Infraestructural de EE. UU. (CISA) sobre los ataques continuos a los sistemas de GitLab.
Los atacantes explotaron CVE-2026-97229, una vulnerabilidad con una puntuación máxima CVSS de 10. Esta falla crítica permite a atacantes no autenticados ejecutar código malicioso inyectando expresiones regulares especialmente diseñadas a través de configuraciones de CI/CD. El ataque contra Alpine Linux comenzó el 20 de octubre, momento en el que la instancia afectada ejecutaba GitLab versión 19.3.4. Los parches para esta vulnerabilidad solo se incluyeron en las versiones de GitLab 19.2.8, 19.3.5 y 19.4.2, que fueron lanzadas el 12 de octubre. Durante el incidente, los atacantes lograron provocar la caída de los procesos de trabajadores de GitLab en el sistema de Alpine Linux.
Aunque Alpine Linux actualizó a GitLab versión 19.3.6 poco después de observar el ataque, esta actualización no resolvió inicialmente el problema de seguridad. La causa raíz de CVE-2026-97229 no reside en GitLab en sí, sino en el motor de expresiones regulares Onigmo de Ruby. En consecuencia, una actualización de GitLab solo proporciona protección si se utiliza la versión de Ruby de los propios paquetes de instalación de GitLab. Dado que los desarrolladores de Alpine Linux utilizaron una instalación independiente de Ruby, la actualización estándar fue ineficaz, requiriendo una actualización manual a las versiones de Ruby 3.3.13, 3.4.12 o 4.0.9.
Tras una investigación exhaustiva, el equipo no encontró evidencia de ejecución de código malicioso ni manipulación de los lanzamientos de Alpine Linux. Sin embargo, algunos registros necesarios para la investigación no estaban disponibles, lo que significa que no se puede descartar definitivamente un compromiso del servidor. Como resultado, el equipo optó por reconstruir completamente la instancia de GitLab. Antes de ponerse en línea, la nueva instancia someterá a pruebas extensas. Además, todas las contraseñas de los usuarios han sido restablecidas, lo que requiere que los desarrolladores creen nuevas credenciales en su próximo inicio de sesión.
CISA añadió CVE-2026-97229 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 29 de octubre, advirtiendo sobre una explotación activa. Se insta a los administradores que aún no han parcheado sus instalaciones de GitLab y Ruby a hacerlo inmediatamente.
Fuentes: Golem.de.