Informes de seguridad revelaron que la distribución Alpine Linux fue objeto de un intento de explotación de una vulnerabilidad de grado máximo en la plataforma GitLab, una vulnerabilidad que permite a atacantes no autorizados ejecutar código arbitrario (RCE) en el servidor. La vulnerabilidad, identificada con el código CVE-2026-97229, obtuvo una puntuación de gravedad de 10/10 según la escala CVSS, lo que la convierte en una de las amenazas más peligrosas actualmente.
Detalles del ataque y mecanismo técnico
Según los datos de Alpine Linux, un actor de amenazas atacó la instancia de GitLab de la distribución durante los días 20 y 21 de octubre. El ataque comenzó mediante el uso de una cuenta registrada recientemente para enviar archivos de configuración de CI/CD especialmente diseñados, lo que provocó la interrupción de los procesos de trabajo (worker processes). Aunque el ataque no logró comprometer los sistemas principales, los atacantes demostraron un alto nivel de profesionalismo; descargaron la imagen de contenedor de GitLab, lo que indica un intento de "ajustar" la explotación para que se adaptara con precisión al entorno del objetivo.
Esta vulnerabilidad surge de una debilidad en la validación de expresiones regulares (Regular Expression validation) dentro del motor Onigmo, que es el motor utilizado en el lenguaje de programación Ruby. Dado que la vulnerabilidad reside en el motor del lenguaje y no en el código de GitLab en sí, el proceso de actualización tradicional de la plataforma podría no ser suficiente para la protección.
¿Qué significa esto para los usuarios y administradores?
Este desarrollo representa un desafío técnico para las organizaciones que no dependen de los paquetes preconfigurados de GitLab, sino que ejecutan GitLab utilizando una versión personalizada de Ruby o desde el código fuente. En este caso, no bastará con actualizar GitLab a la versión 19.3.6, sino que se debe actualizar el lenguaje Ruby de forma independiente para garantizar el cierre de la vulnerabilidad.
Para garantizar la protección, se debe asegurar el uso de las siguientes versiones de Ruby o superiores:
Respuesta internacional
Por su parte, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) incluyó la vulnerabilidad CVE-2026-97229 en su catálogo de vulnerabilidades explotadas conocidas (KEV) y emitió directivas urgentes a las agencias federales para que aborden esta vulnerabilidad en un plazo máximo de tres días.