🔍 Contexte

Le 28 octobre 2026, l’équipe Alpine Linux a publié un post-mortem détaillé sur son site officiel (alpinelinux.org) concernant une tentative d’exploitation de leur instance GitLab entre le 20 et le 21 octobre 2026.

🛡️ La vulnérabilité

CVE-2026-97229 est une vulnérabilité critique (CVSS 10.0) affectant la manière dont GitLab évalue les expressions régulières dans les configurations CI. Le bug sous-jacent réside dans Onigmo, le moteur d’expressions régulières intégré à Ruby. GitLab a publié des correctifs le 12 octobre 2026, mais le fix nécessite un patch spécifique à Ruby, non inclus dans les builds Ruby standards. Ruby upstream a publié le correctif le 23 octobre dans les versions 3.3.13, 3.4.12 et 4.0.9.

⚔️ Déroulement de l’attaque

  • 20 octobre : Un compte nouvellement enregistré commence à sonder l’instance GitLab d’Alpine Linux (encore en version 19.3.4, sans le correctif).
  • 21 octobre : Attaque principale — envoi de configurations CI malformées provoquant 8 crashs de workers GitLab. Dans 4 cas, l’attaquant a progressé partiellement dans l’exploit avant d’échouer à l’étape suivante. L’attaquant a également téléchargé l’image container GitLab d’Alpine pour affiner l’exploit.
  • 22 octobre : Mise à jour vers GitLab 19.3.6, mais la vulnérabilité persiste car l’image utilise un Ruby standard sans le patch.
  • 25-26 octobre : L’attaquant tente de revenir ; les tentatives échouent.
  • 27-28 octobre : Fermeture de GitLab, reconstruction complète depuis zéro, réinitialisation de tous les mots de passe et remplacement des clés secrètes.

📦 Impact confirmé et éléments non compromis

Aucune preuve de compromission réussie, mais impossibilité de l’exclure formellement :

  • ✅ Les releases Alpine (3.21.9, 3.22.7, 3.23.7, 3.24.3) et les packages ne montrent aucune altération
  • ✅ Les clés de signature des packages Alpine n’étaient pas stockées sur le serveur GitLab
  • ❌ Des logs ont disparu (logs de jobs en arrière-plan, filesystem de l’ancien container)
  • ❌ Aucune journalisation des connexions réseau sortantes n’était en place

Données potentiellement exposées en cas de succès : adresses email, noms, adresses IP des utilisateurs, hachages de mots de passe, secrets 2FA, variables CI/CD, tokens de runners, credentials de webhooks, tokens d’accès personnels, dépôts privés.

🔧 Facteur aggravant

Alpine Linux avait par erreur mis à jour vers GitLab 19.3.4 au lieu de 19.3.5 (qui contenait le correctif) lors de la publication du CVE le 13 octobre. De plus, l’utilisation d’un Ruby standard (non packagé par GitLab) a rendu le correctif de GitLab 19.3.6 inefficace.

📋 Type d’article

Post-mortem technique publié par l’équipe infrastructure d’Alpine Linux, visant à informer la communauté des utilisateurs et administrateurs GitLab sur l’incident, son déroulement et les mesures prises.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1110.004 — Credential Stuffing (Credential Access)
  • T1496 — Resource Hijacking (Impact)
  • T1588.006 — Obtain Capabilities: Vulnerabilities (Resource Development)

IOC

  • CVEs : CVE-2026-97229 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 29 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 51/100 (moyenne)

  • ⬜ alpinelinux.org — source non référencée (0pts)
  • ✅ 7362 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 1 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://alpinelinux.org/posts/GitLab-security-incident-CVE-2026-97229.html