Alpine：GitLab 遭 CVE-2026-97229 利用尝试，按失陷标准整机重建

2026年10月28日，Alpine Linux 官方发文称：10月20–21日，有攻击者对其 GitLab 实例尝试利用 CVE-2026-97229——该漏洞修复大约一周后。攻击一度接近得手。官方称未发现成功证据，但不能排除，因此按已失陷处置，从零重建实例。核查显示 aports 仓库、软件包以及 10月21日发布的发行版未被篡改。

CVE-2026-97229 被标为严重（CVSS 10.0），与 GitLab 在 CI 配置里求值正则有关，根因在 Ruby 内置的 Onigmo 引擎。GitLab 于 10月12日 发布带补丁的版本；补丁落在 GitLab 自带的 Ruby 上。上游 Ruby 则在 10月23日 的 3.3.13 / 3.4.12 / 4.0.9 合入修复。Alpine 这边曾在 10月13日误升到 19.3.4 而非含修复的 19.3.5。攻击者用新注册账号投递特制 CI 配置，实例当时仍跑 19.3.4；官方记录 worker 崩溃 8 次，其中 4 次利用推进到中途后失败，攻击者还下载了其 GitLab 容器镜像。10月22日升到 19.3.6 仍不够——自建镜像用的是标准 Ruby，拿不到 GitLab 官方包里的 Ruby 补丁。

官方强调：若用自有 Ruby（源码或自建镜像）跑 GitLab，只升 GitLab 不够，还要 Ruby 上述版本或更新；使用 alpinelinux/gitlab 镜像须重新拉取含 Ruby 3.3.13 的 10月27日 之后的 19.3.6 标签。重建后全部密码已重置，密钥轮换；重开前请用「忘记密码」。若 gitlab.alpinelinux.org 密码曾在别处复用，应尽快改掉——官方已观察到用其他站点泄露密码的自动化登录尝试。

官方称：软件包签名密钥从不放在 GitLab 服务器；10月21日稳定版（3.21.9、3.22.7、3.23.7、3.24.3）及 10月20–24 日构建的包，已与 GitLab 外的开发者克隆与构建机记录交叉核对。因无法完全排除代码执行，仍选择重建以清除可能残留的立足点。GitLab 暂未完全对外开放期间，软件包镜像、cgit、邮件列表与 IRC 照常。

来源

[1] GitLab security incident: attempted exploitation of CVE-2026-97229，Alpine Linux，2026年10月28日。

[2] Hacker News 讨论，2026年10月29日。

#AlpineLinux #GitLab #CVE #安全事件 #开源基础设施