GitLab CVE-2026-97229: attacco ad Alpine, serve aggiornare Ruby

ARX News ha già trattato la CVE-2026-97229 di GitLab Community Edition (CE) ed Enterprise Edition (EE), l’esecuzione di codice senza autenticazione con punteggio CVSS 10 legata alle espressioni regolari nelle configurazioni CI/CD, e il suo inserimento nel catalogo KEV della CISA il 29 ottobre. Allora non erano noti dettagli sugli attacchi. Ora c’è un primo caso documentato: il tentativo di sfruttamento contro l’istanza GitLab di Alpine Linux, la distribuzione usata come base di moltissime immagini container.

Ne hanno scritto The Hacker News, SecurityWeek e heise Security. I dettagli che seguono vengono dalla comunicazione di Alpine Linux, ripresa da SecurityWeek.

Cosa è successo ad Alpine Linux

Secondo Alpine Linux, l’attacco è avvenuto il 20 e 21 ottobre, circa una settimana dopo il bollettino di GitLab del 12 ottobre:

• l’attaccante ha usato un account registrato da poco per inviare all’istanza configurazioni CI costruite ad arte, che hanno fatto andare in crash il processo worker;
• in 4 di questi crash l’exploit è arrivato a metà ed è fallito al passo successivo;
• l’attaccante ha anche scaricato l’immagine container GitLab di Alpine: secondo la distribuzione, è un segno che stava adattando l’exploit alla sua build esatta.

Alpine Linux dice di non aver trovato prove di esecuzione di codice sul server, ma di non poterla escludere. Per questo ha ricostruito l’istanza da zero e la sta ancora verificando prima di riaprirla al pubblico. Secondo i suoi controlli, il repository aports, i pacchetti e le release del 21 ottobre non sono stati manomessi.

Ha inoltre azzerato tutte le password, segnalando tentativi di accesso automatici con password trapelate in altre violazioni. La fonte non dice se siano opera dello stesso attaccante.

Il punto tecnico: la falla è in Ruby

Secondo SecurityWeek, la CVE-2026-97229 nasce da una validazione insufficiente delle espressioni regolari in Onigmo, il motore delle espressioni regolari di Ruby. Anche heise Security attribuisce le falle critiche di GitLab a errori nel motore regex di Ruby.

La conseguenza pratica l’ha vissuta Alpine Linux: la sua immagine esegue GitLab con il Ruby standard della distribuzione, non con quello dei pacchetti di GitLab. Per questo, secondo SecurityWeek, la vulnerabilità è rimasta aperta anche dopo l’aggiornamento a GitLab 19.3.6, una delle versioni che ARX News indicava come sicure.

L’indicazione di Alpine Linux è esplicita: chi esegue GitLab con un proprio Ruby (installazione da sorgenti o immagine container costruita in casa) non può limitarsi ad aggiornare GitLab, ma deve installare anche Ruby 3.3.13, 3.4.12, 4.0.9 o versioni successive.

Un controllo basato solo sulla versione di GitLab, quindi, può dare per corretta un’istanza ancora vulnerabile. Le fonti disponibili non dicono se lo stesso valga per la CVE-2026-110264, corretta da GitLab il 21 ottobre e descritta anch’essa come un integer overflow nel compilatore delle espressioni regolari.

Tecniche e indicatori

In termini MITRE ATT&CK lo schema resta lo sfruttamento di un’applicazione esposta (T1190), con un account ordinario creato sull’istanza: è coerente con le condizioni descritte a metà ottobre da Rapid7, che richiedevano la possibilità di creare progetti pubblici. I tentativi di accesso con password trapelate corrispondono al credential stuffing (T1110.004).

Le fonti non riportano indicatori di compromissione (indirizzi IP, nomi di account, hash). Gli unici segnali descritti sono comportamentali: nuovi account, configurazioni CI anomale e crash ripetuti del worker.

Impatto per le aziende europee e italiane

Il caso conferma che la CVE-2026-97229 viene usata contro bersagli reali e che gli attaccanti investono tempo per adattare l’exploit alla singola installazione. Sono più esposte le istanze self-managed con registrazione aperta e quelle eseguite su un Ruby non fornito da GitLab: immagini container personalizzate, installazioni da sorgenti, pacchetti delle distribuzioni.

Per chi usa le immagini e i pacchetti di Alpine Linux, la distribuzione dichiara che repository, pacchetti e release del 21 ottobre sono integri: in base alle fonti non ci sono azioni da fare.

Per i soggetti che rientrano nella NIS2 vale quanto già scritto: gestione delle vulnerabilità, sicurezza della catena di fornitura del software e, in caso di incidente significativo, notifica allo CSIRT Italia dell’ACN.

Cosa fare subito

1. Verifica come è installato GitLab: pacchetti ufficiali di GitLab oppure Ruby proprio (sorgenti, immagine costruita in casa, pacchetti della distribuzione).
2. Se il Ruby è tuo: controlla la versione usata dai processi di GitLab e portala ad almeno 3.3.13, 3.4.12 o 4.0.9, poi riavvia i servizi perché carichino il nuovo runtime.
3. Aggiorna comunque GitLab ad almeno 19.2.9, 19.3.6, 19.4.3 o 19.5.1, come già indicato per la CVE-2026-110264.
4. Rivedi i controlli di vulnerabilità: se lo scanner guarda solo la versione di GitLab, aggiungi la verifica della versione di Ruby.
5. Cerca i segnali descritti da Alpine Linux: account registrati di recente, configurazioni CI anomale inviate da quegli account e crash ripetuti dei processi worker dal 12 ottobre in poi.
6. Accessi: controlla i tentativi di accesso falliti e, dove possibile, rendi obbligatoria l’autenticazione a due fattori; valuta di limitare la registrazione aperta.
7. Se trovi attività sospetta: considera esposto il server, come ha fatto Alpine Linux, verifica l’integrità di repository e artefatti di rilascio, sostituisci password e segreti delle pipeline e valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a scoprire se un’istanza GitLab è raggiungibile da fuori. ARX Shield elenca le vulnerabilità aperte sulle macchine monitorate. ARX Sentry raccoglie log ed eventi dei server su cui è installato l’agent e controlla l’integrità dei file nelle cartelle stabilite. Con ARX Horizon puoi consultare dal portale i dettagli delle vulnerabilità.

Ultimo aggiornamento: 30 ottobre 2026