Alpine Linux reconstruit son serveur GitLab après une tentative d'exploitation

Le projet Alpine Linux a reconstruit de zéro son instance GitLab et réinitialisé tous les mots de passe après des tentatives d'exploitation de CVE-2026-97229, une faille critique de GitLab, les 20 et 21 octobre 2026. L'information a été rapportée par bleepingcomputer.com.

Les attaques visaient CVE-2026-97229, une faille d'exécution de code à distance de sévérité maximale dans Onigmo, le compilateur d'expressions régulières utilisé par GitLab pour ses pipelines CI/CD et fourni avec Ruby. Les attaquants ont soumis des configurations CI malveillantes, provoquant huit plantages de workers (processus d'exécution), dont quatre ont été partiellement couronnés de succès.

Alpine Linux n'a trouvé aucune preuve de code exécuté ni de paquets altérés et a publié des versions jusqu'au 27 octobre, mais n'a pas pu écarter une compromission en raison de journaux manquants et de l'absence de traces de connexions sortantes. Les attaquants ont téléchargé l'image de conteneur GitLab d'Alpine, ce qui suggère une possible préparation d'une attaque sur la chaîne d'approvisionnement.

Correctif et recommandations

Alpine invite les utilisateurs à réinitialiser leurs mots de passe GitLab et à récupérer l'image alpinelinux/gitlab:19.3.6 publiée le 27 octobre, qui embarque Ruby 3.3.13 et corrige CVE-2026-97229.

GitLab avait rendu publique la vulnérabilité et proposé des correctifs le 12 octobre 2025, en avertissant qu'une expression régulière malveillante dans une configuration de pipeline CI/CD pouvait la déclencher. Alpine avait d'abord installé GitLab 19.3.4 au lieu de la version corrigée 19.3.5, et la mise à niveau ultérieure vers 19.3.6 n'avait pas fermé la faille, le correctif exigeant un patch de Ruby absent de son image de conteneur personnalisée. Le serveur GitLab d'Alpine héberge les dépôts de développement, les revues de code et les tâches CI, dont les recettes de compilation « aports » des paquets logiciels de la distribution.