Alpine Linux、GitLab脆弱性悪用未遂を公表
原題: GitLab Security Incident: Attempted Exploitation of CVE-2026-97229
なぜ重要か
CVSS 10.0の脆弱性が修正リリース後わずか1週間で実際の攻撃に使われた事例として、パッチ適用の速度と正確さが改めて問われる。
Alpine Linuxは2026年10月28日、自組織のGitLabインスタンスが10月20〜21日にかけてCVE-2026-97229（CVSS 10.0）の悪用を試みられたと公表した。攻撃はワーカープロセスを8回クラッシュさせたが、コード実行の証拠は見つかっていない。インスタンスはゼロから再構築され、全パスワードがリセットされた。aportsリポジトリおよびパッケージへの改ざんは確認されていない。
Alpine Linuxの運営チームは、自組織が管理するGitLabインスタンスに対する深刻なセキュリティインシデントを詳細なタイムラインとともに公開した。
問題の根幹にあるのはCVE-2026-97229、CVSS スコア10.0の最高深刻度脆弱性だ。GitLabがCI設定中の正規表現を評価する処理に潜む欠陥で、原因はRubyに組み込まれた正規表現エンジン「Onigmo」にある。GitLabは10月12日に修正済みリリースを出したが、Alpine Linuxチームは誤って修正を含まない19.3.4へアップグレードしてしまい、正しい19.3.5を適用し損ねた。
攻撃者は10月20日に新規アカウントを登録してプローブを開始。翌21日には細工したCI設定を送り込み、GitLabワーカープロセスを8回クラッシュさせた。うち4回は攻撃の途中段階まで到達したものの、次のステップで失敗した。攻撃者はAlpine Linux製のGitLabコンテナイメージもダウンロードしており、自分たちのビルド環境に合わせてエクスプロイトを調整していた可能性が高い。
10月22日に19.3.6へアップグレードしたが、Alpine Linuxが独自のRubyを使ったコンテナイメージを利用していたため、この更新では脆弱性が解消されなかった。GitLab公式パッケージ以外でRubyを独自管理している場合、GitLab本体の更新だけでは不十分で、Ruby 3.3.13・3.4.12・4.0.9以降への更新も必須となる。
10月26日に脆弱性が残存していることが判明。10月27日にはGitLabを開発者とビルドサーバのみに限定し、ゼロからの再構築を開始。10月28日に再構築が完了し、全パスワードおよびGitLabのシークレットキーをリセットした。aportsリポジトリ、パッケージ、10月21日リリースの改ざんは外部記録との照合で確認されていない。
他のサイトで流出したパスワードを使った自動ログイン試行も観測されている。gitlab.alpinelinux.orgと同じパスワードを他サービスで使い回している場合は即時変更が求められる。