Отчеты по безопасности показали, что дистрибутив Alpine Linux подвергся попытке эксплуатации критической уязвимости в платформе GitLab, которая позволяет неавторизованным злоумышленникам выполнять произвольный код (RCE) на сервере. Уязвимость с идентификатором CVE-2026-97229 получила оценку критичности 10/10 по шкале CVSS, что делает ее одной из самых опасных текущих угроз.
Детали атаки и технический механизм
Согласно данным Alpine Linux, субъект угрозы нацелился на экземпляр GitLab, принадлежащий дистрибутиву, в течение 20 и 21 октября. Атака началась с использования недавно зарегистрированной учетной записи для отправки специально созданных конфигурационных файлов CI/CD, что привело к сбою рабочих процессов (worker processes). Хотя атака не привела к взлому основных систем, злоумышленники продемонстрировали высокий уровень профессионализма; они загрузили образ контейнера GitLab, что указывает на попытку «настройки» эксплойта для точного соответствия целевой среде.
Эта уязвимость возникает из-за слабости проверки регулярных выражений (Regular Expression validation) в движке Onigmo, который используется в языке программирования Ruby. Поскольку уязвимость находится в движке языка, а не в самом коде GitLab, традиционного обновления платформы может быть недостаточно для защиты.
Что это означает для пользователей и администраторов?
Это развитие событий представляет собой технический вызов для организаций, которые не полагаются на готовые пакеты GitLab, а запускают GitLab, используя собственную версию Ruby или собирая его из исходного кода. В этом случае одного обновления GitLab до версии 19.3.6 будет недостаточно, необходимо обновить язык Ruby независимо, чтобы гарантировать устранение уязвимости.
Для обеспечения защиты необходимо убедиться в использовании следующих версий Ruby или более поздних:
Международная реакция
Со своей стороны, Агентство по кибербезопасности и защите инфраструктуры США (CISA) включило уязвимость CVE-2026-97229 в каталог эксплуатируемых известных уязвимостей (KEV) и выпустило срочные директивы для федеральных агентств о необходимости устранения этой уязвимости в течение максимум трех дней.