Des rapports de sécurité ont révélé que la distribution Alpine Linux a été la cible d'une tentative d'exploitation d'une vulnérabilité de niveau critique dans la plateforme GitLab, une faille permettant à des attaquants non autorisés d'exécuter du code arbitraire (RCE) sur le serveur. La vulnérabilité, identifiée sous le code CVE-2026-97229, a reçu un score de gravité de 10/10 selon l'échelle CVSS, ce qui en fait l'une des menaces les plus dangereuses actuellement.
Détails de l'attaque et mécanisme technique
Selon les données d'Alpine Linux, un acteur malveillant a ciblé l'instance GitLab de la distribution les 20 et 21 octobre. L'attaque a débuté par l'utilisation d'un compte récemment enregistré pour envoyer des fichiers de configuration CI/CD spécialement conçus, ce qui a entraîné l'arrêt des processus de traitement (worker processes). Bien que l'attaque n'ait pas réussi à compromettre les systèmes principaux, les attaquants ont fait preuve d'un haut niveau de professionnalisme ; ils ont téléchargé l'image de conteneur de GitLab, ce qui indique une tentative d'ajustement de l'exploitation pour qu'elle corresponde précisément à l'environnement cible.
Cette vulnérabilité provient d'une faiblesse dans la validation des expressions régulières (Regular Expression validation) au sein du moteur Onigmo, qui est le moteur utilisé dans le langage de programmation Ruby. Étant donné que la faille réside dans le moteur du langage et non dans le code de GitLab lui-même, le processus de mise à jour traditionnel de la plateforme pourrait ne pas suffire pour assurer la protection.
Qu'est-ce que cela signifie pour les utilisateurs et les administrateurs ?
Cette évolution représente un défi technique pour les organisations qui ne dépendent pas des paquets GitLab prêts à l'emploi, mais qui exécutent GitLab en utilisant une version personnalisée de Ruby ou à partir du code source. Dans ce cas, la mise à jour de GitLab vers la version 19.3.6 ne suffira pas à elle seule ; il est impératif de mettre à jour le langage Ruby indépendamment pour garantir la correction de la faille.
Pour assurer la protection, il est nécessaire de s'assurer de l'utilisation des versions suivantes de Ruby ou des versions ultérieures :
Réponse internationale
De son côté, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a inscrit la vulnérabilité CVE-2026-97229 dans son catalogue des vulnérabilités exploitées connues (KEV) et a émis des directives urgentes aux agences fédérales pour qu'elles corrigent cette faille dans un délai maximum de trois jours.