A equipe de desenvolvimento por trás da distribuição Alpine Linux tornou-se alvo de uma campanha de ataques contra instâncias vulneráveis do GitLab. Embora permaneça incerto se o sistema visado foi comprometido com sucesso, os desenvolvedores decidiram reconstruir completamente sua instância do GitLab do zero como medida de precaução de segurança. Este incidente serve como um alerta para outros administradores, ecoando as advertências emitidas pela Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) sobre ataques contínuos a sistemas GitLab.
Os atacantes exploraram a CVE-2026-97229, uma vulnerabilidade com pontuação máxima CVSS de 10. Esta falha crítica permite que atacantes não autenticados executem código malicioso injetando expressões regulares especialmente criadas através de configurações de CI/CD. O ataque contra o Alpine Linux começou em 20 de outubro, momento em que a instância afetada estava executando a versão 19.3.4 do GitLab. As correções para esta vulnerabilidade foram incluídas apenas nas versões 19.2.8, 19.3.5 e 19.4.2 do GitLab, lançadas em 12 de outubro. Durante o incidente, os atacantes conseguiram travar os processos de trabalho do GitLab no sistema Alpine Linux.
Embora o Alpine Linux tenha atualizado para a versão 19.3.6 do GitLab pouco após observar o ataque, esta atualização não resolveu inicialmente o problema de segurança. A causa raiz da CVE-2026-97229 reside não no próprio GitLab, mas no motor de expressões regulares Onigmo do Ruby. Consequentemente, uma atualização do GitLab só oferece proteção se for utilizada a versão do Ruby dos próprios pacotes de instalação do GitLab. Como os desenvolvedores do Alpine Linux utilizaram uma instalação independente do Ruby, a atualização padrão foi ineficaz, exigindo uma atualização manual para as versões 3.3.13, 3.4.12 ou 4.0.9 do Ruby.
Após uma investigação minuciosa, a equipe não encontrou evidências de execução de código malicioso ou manipulação dos lançamentos do Alpine Linux. No entanto, alguns registros necessários para a investigação estavam indisponíveis, o que significa que um comprometimento do servidor não pode ser definitivamente descartado. Como resultado, a equipe optou por reconstruir inteiramente a instância do GitLab. Antes de entrar em operação, a nova instância passará por testes extensivos. Além disso, todas as senhas dos usuários foram redefinidas, exigindo que os desenvolvedores criem novas credenciais ao fazer login novamente.
A CISA adicionou a CVE-2026-97229 ao seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) em 29 de outubro, alertando sobre exploração ativa. Administradores que ainda não aplicaram correções às suas instalações do GitLab e do Ruby são instados a fazê-lo imediatamente.
Fontes: Golem.de.