LONDON (IT BOLTWISE) – Alpine Linux meldet, dass Angreifer eine kritische GitLab-Schwachstelle (CVE-2026-97229, CVSS 10.0) auf dem eigenen GitLab-Server versucht haben. Der Vorfall zeigt, dass ein einfaches GitLab-Upgrade bei bestimmten Installationen nicht genügt, wenn das zugrunde liegende Ruby nicht korrekt aktualisiert ist. Alpine hat den Server am 28. Oktober vollständig neu aufgebaut, alle Passwörter zurückgesetzt und die betroffenen Geheimschlüssel ersetzt. Zusätzlich müssen Administratoren je nach Installationsart Ruby-Versionen wie 3.3.13, 3.4.12 oder 4.0.9 aktualisieren.
Alpine Linux hat am 28. Oktober öffentlich gemacht, dass Angreifer eine kritische Schwachstelle im CI/CD-Setup von GitLab auf dem eigenen Projektserver anvisiert haben. Ausgangspunkt war CVE-2026-97229 mit einem CVSS-Score von 10.0: Unter bestimmten Bedingungen kann ein Angreifer Code auf einem GitLab-Server ausführen, indem er eine gezielt präparierte reguläre Expression in einer CI-Konfiguration einsetzt. Alpine betont, dass es keine belastbaren Hinweise auf erfolgreich ausgeführte Angreifer-Codes gebe, kann das Ergebnis aber nicht ausschließen. Genau deshalb ging das Team weiter: Der GitLab-Server wurde von Grund auf neu aufgebaut, Kontenpasswörter wurden zurückgesetzt und die Server- und Release-Schlüssel wurden ersetzt.
Technisch ist der Kernpunkt, warum ein normales „GitLab updaten“ in diesem Fall nicht automatisch ausreicht. GitLab kompiliert reguläre Ausdrücke aus CI-Konfigurationen in Ruby; die verwundbare Komponente steckt dabei im Regexp-Engine-Teil Onigmo, der in Ruby integriert ist. GitLab liefert daher Fixes über gepatchte Ruby-Versionen in den eigenen Linux-Paketen und in offiziellen Container-Images. Alpine zeigt jedoch, dass die betroffene GitLab-Instanz auf „standardmäßigem Ruby“ lief – nach dem Upgrade auf GitLab 19.3.6 am 22. Oktober blieb die Verwundbarkeit bestehen. Für Betreiber, die GitLab auf selbst kompiliertem Ruby aufsetzen oder Container verwenden, die Ruby separat installieren, gilt demnach: Das GitLab-Upgrade allein behebt das Problem nicht. Stattdessen müssen die Ruby-Versionen selbst auf die fixierten Stände gehoben werden, etwa Ruby 3.3.13, 3.4.12 oder 4.0.9 – und bei Alpine-spezifischen GitLab-Images muss ein zuvor gezogenes Image-Tag erneut gepullt werden.
Der Ablauf, den Alpine rekonstruiert, ist für Security-Teams besonders lehrreich, weil er zeigt, wie eng ein Exploitversuch mit dem CI-Lifecycle verknüpft sein kann. Alpine berichtet, dass es eine Aktualisierung am 13. Oktober auf GitLab 19.3.4 statt 19.3.5 vorgenommen habe; diesen Schritt bezeichnete das Unternehmen intern als Fehler. Noch bevor die eigentliche Fixphase vollständig durch war, begann ab dem 20. Oktober ein neu registriertes Konto mit dem Probing. In Summe crashte es Worker-Prozesse achtmal, darunter führten die Aktionen am 21. Oktober zu 502-Fehlern und verhinderten, dass CI-Jobs erfolgreich liefen. In vier Fällen kam der Angreifer offenbar bis zu einem Zwischenschritt der Ausnutzung, scheiterte aber beim nächsten Schritt. Auffällig ist auch: Alpine sagt, der Angreifer habe das eigene GitLab-Container-Image heruntergeladen, was auf eine Anpassung des Exploits an den exakten Build hindeutet.
Auch die forensische Bewertung macht deutlich, weshalb Alpine am Ende trotz „keine Belege“ von einem potenziell kompromittierten System ausgeht. Alpine ordnet den Zeitraum so ein, dass es keine sichtbaren Spuren einer erfolgreichen Codeausführung gefunden habe: Es gab keine unerwarteten Dateien, Schlüssel, Hooks oder Prozesse, keine sichtbaren Datenabflüsse über Web- oder API-Anfragen und keine relevanten Timing-Anomalien. Allerdings gelten auch Grenzen: Logs vom Angriffstag sind teilweise nicht mehr vorhanden, darunter Hintergrundjob-Logs und das Dateisystem des alten Containers. Zudem habe weder Alpine noch der Hosting-Provider protokolliert, ob Outbound-Netzwerkverbindungen stattfanden. Alpine argumentiert deshalb, dass ein erfolgreicher Exploit in bestimmten Szenarien „keinen Crash und keine Spur in den Web-Logs“ hinterlassen würde. Weil der kritische Nachweis für „kein Code-Execution-Erfolg“ nicht mehr möglich ist, wurde der Server als kompromittiert behandelt, um jede mögliche Hintertür zu entfernen.
Was das im Betrieb konkret bedeuten kann, beschreibt Alpine in Form der möglichen Informationsklassen. Dazu zählen unter anderem E-Mail-Adressen, Namen und IP-Adressen der Nutzer, Passwort-Hashes sowie 2FA-Secret-Material. Ebenso nennt Alpine CI/CD-Variablen und Runner-Tokens, Webhook-/Integration-/Push-Mirror-Credentials sowie Personal Access Tokens, die serverseitig gehasht vorliegen. Außerdem nennt das Unternehmen mögliche Risiken für private Repositories sowie vertrauliche Issues und Merge Requests. Alpine habe zwar Passwörter neu gesetzt und Geheimschlüssel ersetzt, aber offen gelassen, ob zusätzlich Runner-Tokens, CI/CD-Variablen, Access Tokens oder Integrationscredentials im Detail ebenfalls erneuert wurden. Für Administratoren folgt daraus ein klares Vorgehen: neben dem Update selbst sollten Secret-Rotation und Zugriffsbeschränkungen in Betracht gezogen werden, insbesondere wenn ein System wie bei Alpine rekonstruierbar „grau“ bleibt.
Für die Absicherung liefert die Mitteilung außerdem eine differenzierte Handlungslogik nach Installationsart. GitLab-Updates auf die jeweils neuesten Releases der betroffenen Branches schließen CVE-2026-97229 nur dann vollständig ein, wenn die Installation die gepatchten Ruby-Komponenten aus den GitLab-Paketen bzw. offiziellen Images nutzt. Bei Selbstinstallationen oder Images, die Ruby separat installieren, muss Ruby auf die fixierten Versionen aktualisiert werden; dabei ist Ruby 3.2 wegen End-of-Life ohne Fix. Alpine erwähnt zudem, dass GitLab in der Vergangenheit Versionen innerhalb des 19.3-Zweigs nachgezogen hat: Was als „fixiert“ galt, wurde später um neue Erkenntnisse ergänzt. In der Praxis bedeutet das: Betreiber sollten nicht nur „GitLab aktualisiert“, sondern auch „Ruby in dieser konkreten Runtime wirklich aktualisiert“ prüfen – inklusive der Frage, ob ein Container-Tag neu gezogen werden muss. Parallel kündigt Alpine an, das System erneut zu testen, bevor es wieder für die Öffentlichkeit freigeschaltet wird; Konten müssen dabei voraussichtlich ein neues Passwort setzen.
Für die Branche ist die Meldung mehr als ein Einzelfall, weil sie einen wiederkehrenden Schwachstellen-Mechanismus sichtbar macht: Wenn CI-Systeme Ausdrucke oder Artefakte aus Konfigurationen in eine Laufzeitumgebung übersetzen, wird die Qualität der darunterliegenden Sprach-/Regex-Implementierung zur Sicherheitsfrage. Die Kombination aus „RegExp-Kompilierung aus kontrollierbaren Eingaben“ und „fehleranfälliger Engine“ ist ein Muster, das nicht nur GitLab betrifft. Gleichzeitig zeigt der Vorfall, wie wichtig es ist, Fix-Maßnahmen nicht nur auf Produktversionen, sondern auf die tatsächliche Abhängigkeitskette zu beziehen. Für Unternehmen heißt das: Ein SBOM-ähnlicher Blick auf Runtime-Bausteine (hier: Ruby/Onigmo in der GitLab-Installation) und ein klares Update-Regime für selbst gebaute Container reduzieren das Risiko, dass ein vermeintlich „aktuelles“ System im Hintergrund weiterhin verwundbar bleibt.
Relevanz hat die Meldung auch für den Incident-Response-Prozess. Selbst wenn keine Beweise für Codeausführung vorliegen, kann ein Zusammenspiel aus fehlender Logging-Abdeckung und nicht sicher ausschließbarer Exploitwirkung dazu führen, dass ein kompletter Rebuild das risikoärmere Mittel ist. Alpine hat genau diesen Weg gewählt: Neustart des Servers, Rotation zentraler Secrets und kontrollierte Wiederfreigabe. Wer GitLab selbst betreibt, bekommt damit einen praktischen Maßstab: Bei hochbewerteten CI-/Regex-Schwachstellen sollte die Frage nicht nur „Ist GitLab gepatcht?“ lauten, sondern auch „Welche Ruby-Engine steckt in dieser konkreten Deployment-Variante?“
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Alpine warnt: GitLab-CVE-2026-97229 bleibt bei falschem Ruby-Update bestehen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Alpine warnt: GitLab-CVE-2026-97229 bleibt bei falschem Ruby-Update bestehen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Alpine warnt: GitLab-CVE-2026-97229 bleibt bei falschem Ruby-Update bestehen« bei Google Deutschland suchen, bei Bing oder Google News!