Em 20 e 21 de outubro, criminosos tentaram explorar uma falha crítica no GitLab usado pela infraestrutura de desenvolvimento da Alpine Linux, um sistema operacional pequeno e leve que serve de base para muitas imagens de contêineres Docker. A falha, identificada como CVE-2026-97229, permite executar código à distância no servidor sem precisar de login e recebeu a nota máxima de gravidade.

Os ataques derrubaram repetidamente processos do GitLab, em oito travamentos de workers, e alguns chegaram perto de dar certo. A equipe da Alpine não encontrou sinais de que o código foi executado nem de alterações em pacotes ou versões, mas não conseguiu descartar um comprometimento, porque faltavam registros de logs e de conexões de saída. Por isso, decidiu reconstruir o servidor do zero e redefinir todas as senhas.

Esse servidor guarda repositórios, revisões de código e tarefas de compilação, incluindo as receitas usadas para gerar os pacotes da distribuição. Por isso, ele é um alvo valioso para um ataque à cadeia de suprimentos, em que uma alteração na origem pode chegar a quem usa o software. Os criminosos baixaram a imagem do contêiner do GitLab da Alpine, o que sugere que podiam estar se preparando para isso.

A GitLab divulgou a falha e as correções em 12 de outubro. A Alpine havia instalado inicialmente a versão 19.3.4, e a 19.3.5 já trazia a correção. Uma atualização posterior, para a 19.3.6, também não fechou a brecha, porque a correção exigia um ajuste no Ruby, que a imagem personalizada da Alpine não incluía.

Segundo a fonte, se a exploração tivesse dado certo, poderiam ser expostos dados de usuários, hashes de senhas, segredos de autenticação em dois fatores, segredos de CI/CD, credenciais de integrações e conteúdo de projetos privados, embora nenhum desses itens tenha sido confirmado como comprometido. A Alpine recomenda que os usuários redefinam suas senhas do GitLab e baixem a imagem alpinelinux/gitlab:19.3.6, publicada em 27 de outubro, que traz o Ruby 3.3.13 e corrige a CVE-2026-97229.