Falha crítica CVSS 10 no GitLab é explorada em ataque contra o Alpine Linux

A falha que atingiu o GitLab é a CVE-2026-97229, com CVSS 10 de 10. A origem não está no código do GitLab em si, e sim no Onigmo, o mecanismo de expressões regulares do Ruby. Segundo o aviso do GitLab de 12 de outubro de 2026, um usuário não autenticado poderia executar código arbitrário no servidor por meio de uma expressão regular especialmente criada numa configuração de CI/CD.

O Alpine Linux relatou que um invasor atacou sua instância em 20 e 21 de outubro de 2026, cerca de uma semana após a divulgação. Ele usou uma conta recém-registrada para enviar configurações de CI malformadas e derrubou o processo worker. Em 4 das quedas, o ataque avançou parte do caminho e falhou na etapa seguinte. O invasor também baixou a imagem de container do GitLab, o que sugere ajuste do exploit para aquela build. O Alpine não achou evidência de execução de código, mas diz que não pode descartá-la. Os repositórios aports, os pacotes e os lançamentos de 21 de outubro não foram adulterados, segundo as verificações. A instância foi reconstruída do zero e todas as senhas foram redefinidas, com aviso sobre tentativas automáticas de login usando senhas vazadas em outros incidentes.

O ponto operacional: como o bug está no Ruby, atualizar para o GitLab 19.3.6 não corrigiu a imagem do Alpine, que roda Ruby padrão. Quem usa Ruby próprio (compilado do código-fonte ou em imagem de container própria) precisa também do Ruby 3.3.13, 3.4.12, 4.0.9 ou posterior. A CISA incluiu a CVE no catálogo KEV e deu três dias para agências federais americanas aplicarem a correção, conforme a BOD 26-04.

Em 14 de outubro de 2026, o CEVIU noticiou, em "Alerta Crítico: GitLab Corrige Falha CVSS 10.0 que Permitiria Execução Remota de Código", a correção da CVE-2026-97229 pelo GitLab, ainda como risco potencial. Agora há exploração confirmada contra uma instância real, e o caso mostra que a correção do GitLab não cobre ambientes com Ruby próprio. Em 23 de outubro de 2026, o CEVIU também cobriu, em "GitLab corrige falha crítica que permite execução de código sem autenticação", um pacote de patches com uma falha de integer overflow no compilador de expressões regulares, citada com outro identificador (CVE-2026-110264). O material não permite afirmar que seja a mesma falha.

Para quem opera GitLab self-managed, a leitura é direta: checar a versão do GitLab não basta. Vale inventariar qual Ruby roda em cada instância e imagem de container, principalmente nas builds customizadas. Com a entrada no KEV e exploração observada, a janela para aplicar a correção é curta. Também faz sentido revisar contas recém-criadas e quedas de worker nos logs, e tratar a rotação de credenciais como medida preventiva.