GitLab 滿分漏洞遭利用 Alpine 升級後仍未堵塞

美國網絡安全局證實 GitLab 滿分漏洞遭利用

美國網絡安全及基礎設施安全局（CISA）10 月 29 日把 GitLab 漏洞 CVE-2026-97229 列入「已知被利用漏洞」目錄，指有證據顯示漏洞已被用於實際攻擊。漏洞的嚴重程度評分為滿分 10 分。

GitLab 是不少企業及開源項目自行架設、用來存放程式碼及自動建置軟件的平台。據 BleepingComputer 報道，GitLab 10 月 12 日發出警告，指漏洞源於持續整合（CI/CD）設定中處理正規表達式（用來比對文字的規則）的整數溢位問題，「在某些情況下，可能讓未經認證的用戶，透過特製的正規表達式在 GitLab 伺服器上執行任意程式碼」，並促請所有自行架設的用戶即時升級。

Alpine Linux 的 GitLab 伺服器曾遭針對

輕量級 Linux 發行版 Alpine Linux 10 月 28 日發表事故報告，指有攻擊者 10 月 20 日及 21 日嘗試在其 GitLab 伺服器上利用這個漏洞，時間是修補推出後一星期。Alpine 寫道：「攻擊幾乎成功。我們未發現攻擊成功的證據，但無法排除，所以把伺服器視作已被入侵，由零開始重建。」

據報告，一個新註冊的帳戶向伺服器發送特製的 CI 設定，令 GitLab 的工作程序當機 8 次，其中 4 次攻擊者完成了部分步驟。攻擊者亦下載了 Alpine 的 GitLab 容器映像，Alpine 認為對方是按其版本調校攻擊。

升級 GitLab 未能堵塞漏洞，修補在 Ruby 內

Alpine 指，漏洞的根源在 Ruby 程式語言內置的正規表達式引擎 Onigmo，GitLab 的修補其實是一組 Ruby 補丁，只會隨 GitLab 官方安裝套件及容器映像提供。Alpine 自建的映像使用標準 Ruby，所以 10 月 22 日升級至 GitLab 19.3.6 後漏洞仍在，直至 10 月 26 日才發現。

Alpine 提醒，以自己的 Ruby 運行 GitLab 的用戶，單單升級 GitLab 並不足夠，必須同時升級至 Ruby 3.3.13、3.4.12、4.0.9 或更新版本。

事件時序

Alpine 指軟件套件未被改動

Alpine 表示，經與 GitLab 以外的紀錄核對，其軟件套件及 10 月 21 日發布的版本均未被篡改，簽署套件的密鑰亦從未存放在 GitLab 伺服器上。所有用戶密碼已重設，Alpine 呼籲曾在其他網站使用相同密碼的用戶盡快更改。

Alpine 指，如果攻擊成功，所有用戶的電郵地址、密碼雜湊值及雙重認證密鑰等資料或已外洩。

來源

• GitLab security incident: attempted exploitation of CVE-2026-97229（Alpine Linux）
• CISA Adds Two Known Exploited Vulnerabilities to Catalog（CISA）
• GitLab warns of max severity code execution vulnerability（BleepingComputer）