GitLab CVE-2026-97229: atac asupra Alpine, trebuie actualizat Ruby

ARX News a tratat deja CVE-2026-97229 din GitLab Community Edition (CE) și Enterprise Edition (EE), executarea de cod fără autentificare cu scor CVSS 10 legată de expresiile regulate din configurațiile CI/CD, precum și includerea ei în catalogul KEV al CISA pe 29 octombrie. Atunci nu se cunoșteau detalii despre atacuri. Acum există un prim caz documentat: tentativa de exploatare a instanței GitLab a Alpine Linux, distribuția folosită ca bază pentru foarte multe imagini de containere.

Au scris despre acest lucru The Hacker News, SecurityWeek și heise Security. Detaliile care urmează provin din comunicarea Alpine Linux, preluată de SecurityWeek.

Ce s-a întâmplat la Alpine Linux

Potrivit Alpine Linux, atacul a avut loc pe 20 și 21 octombrie, la aproximativ o săptămână după buletinul GitLab din 12 octombrie:

• atacatorul a folosit un cont înregistrat recent pentru a trimite instanței configurații CI create special, care au blocat procesul worker;
• în 4 dintre aceste blocări exploit-ul a ajuns la jumătatea drumului și a eșuat la pasul următor;
• atacatorul a descărcat și imaginea de container GitLab a Alpine: potrivit distribuției, este un semn că își ajusta exploit-ul la build-ul ei exact.

Alpine Linux spune că nu a găsit dovezi de executare de cod pe server, dar nu o poate exclude. De aceea a reconstruit instanța de la zero și încă o verifică înainte de a o redeschide publicului. Potrivit verificărilor sale, depozitul aports, pachetele și versiunile din 21 octombrie nu au fost modificate.

De asemenea, a resetat toate parolele, semnalând încercări automate de autentificare cu parole scurse în alte incidente. Sursa nu spune dacă aparțin aceluiași atacator.

Punctul tehnic: vulnerabilitatea este în Ruby

Potrivit SecurityWeek, CVE-2026-97229 provine dintr-o validare insuficientă a expresiilor regulate în Onigmo, motorul de expresii regulate al Ruby. Și heise Security atribuie vulnerabilitățile critice din GitLab unor erori din motorul regex al Ruby.

Alpine Linux a trăit consecința practică: imaginea sa rulează GitLab cu Ruby-ul standard al distribuției, nu cu cel din pachetele GitLab. De aceea, potrivit SecurityWeek, vulnerabilitatea a rămas deschisă chiar și după actualizarea la GitLab 19.3.6, una dintre versiunile pe care ARX News le indica drept sigure.

Indicația Alpine Linux este explicită: dacă rulezi GitLab cu propriul Ruby (instalare din surse sau imagine de container construită de tine), nu este suficient să actualizezi GitLab; ai nevoie și de Ruby 3.3.13, 3.4.12, 4.0.9 sau versiuni ulterioare.

Așadar, o verificare bazată doar pe versiunea GitLab poate considera corectată o instanță care este încă vulnerabilă. Sursele disponibile nu spun dacă același lucru este valabil pentru CVE-2026-110264, corectată de GitLab pe 21 octombrie și descrisă tot ca un integer overflow în compilatorul de expresii regulate.

Tehnici și indicatori

În termenii MITRE ATT&CK, schema rămâne exploatarea unei aplicații expuse (T1190), cu un cont obișnuit creat pe instanță. Este în concordanță cu condițiile descrise la jumătatea lunii octombrie de Rapid7, care presupuneau posibilitatea de a crea proiecte publice. Încercările de autentificare cu parole scurse corespund tehnicii de credential stuffing (T1110.004).

Sursele nu raportează indicatori de compromitere (adrese IP, nume de conturi, hash-uri). Singurele semnale descrise sunt comportamentale: conturi noi, configurații CI anormale și blocări repetate ale procesului worker.

Impactul pentru companiile europene și italiene

Cazul confirmă că CVE-2026-97229 este folosită împotriva unor ținte reale și că atacatorii investesc timp pentru a adapta exploit-ul fiecărei instalări. Cele mai expuse sunt instanțele self-managed cu înregistrare deschisă și cele care rulează cu un Ruby nefurnizat de GitLab: imagini de containere personalizate, instalări din surse, pachete ale distribuțiilor.

Pentru cei care folosesc imaginile și pachetele Alpine Linux, distribuția declară că depozitul, pachetele și versiunile din 21 octombrie sunt intacte: pe baza surselor, nu este nevoie de nicio acțiune.

Pentru entitățile care intră sub incidența NIS2 rămâne valabil ce am scris deja: gestionarea vulnerabilităților, securitatea lanțului de aprovizionare software și, în cazul unui incident semnificativ, notificarea către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN).

Ce să faci imediat

1. Verifică modul în care este instalat GitLab: pachetele oficiale GitLab sau propriul Ruby (surse, imagine construită de tine, pachete ale distribuției).
2. Dacă Ruby-ul este al tău: verifică versiunea folosită de procesele GitLab și adu-o cel puțin la 3.3.13, 3.4.12 sau 4.0.9, apoi repornește serviciile ca să încarce noul runtime.
3. Actualizează oricum GitLab cel puțin la 19.2.9, 19.3.6, 19.4.3 sau 19.5.1, așa cum am indicat deja pentru CVE-2026-110264.
4. Revizuiește verificările de vulnerabilități: dacă scanerul se uită doar la versiunea GitLab, adaugă verificarea versiunii Ruby.
5. Caută semnalele descrise de Alpine Linux: conturi înregistrate recent, configurații CI anormale trimise de aceste conturi și blocări repetate ale proceselor worker începând cu 12 octombrie.
6. Autentificări: verifică încercările de autentificare eșuate și, unde este posibil, impune autentificarea cu doi factori; ia în calcul limitarea înregistrării deschise.
7. Dacă găsești activitate suspectă: consideră serverul expus, așa cum a făcut Alpine Linux, verifică integritatea depozitelor și a artefactelor de lansare, înlocuiește parolele și secretele pipeline-urilor și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă o instanță GitLab este accesibilă din exterior. ARX Shield listează vulnerabilitățile deschise de pe mașinile monitorizate. ARX Sentry colectează loguri și evenimente de pe serverele pe care este instalat agentul și controlează integritatea fișierelor din folderele stabilite. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților.

Ultima actualizare: 30 octombrie 2026