Alpine Linux bouwt GitLab-server volledig opnieuw op na hackpoging

Alpine Linux heeft zijn GitLab-server compleet opnieuw opgebouwd. De ontwikkelaars zagen dat hackers probeerden een kritieke kwetsbaarheid in het Git-platform uit te buiten. Er zijn geen aanwijzingen dat dat is gelukt, maar het team greep toch uit voorzorg in.

Dit nieuws in het kort

• Alpine Linux heeft zijn complete GitLab-server opnieuw opgebouwd na een hackpoging.
• De server bevatte een ongepatchte kwetsbaarheid in een Ruby-functie die het mogelijk zou maken om code uit te voeren.
• Het team achter de Linux-distro heeft geen bewijs gevonden dat dat is gelukt, maar kan dat niet volledig garanderen.

De hackpoging vond plaats op 20 en 21 oktober, schrijft het Alpine Linux-team in een blogpost. De aanvaller probeerde een kritieke kwetsbaarheid in GitLab te misbruiken. Het gaat om de kwetsbaarheid CVE-2026-97229, die in het Common Vulnerability Scoring System (CVSS) een score van 10 krijgt en als kritiek geldt.

Bug in Ruby

De bug zit in de manier waarop GitLab 'reguliere expressies' verwerkt in de configuratie voor continuous integration (CI). Die expressies bepalen welke taken worden uitgevoerd als iemand de code wijzigt. Onigmo is een engine die zulke expressies regelt en in programmeertaal Ruby zit gebakken. Dat onderdeel bevatte de kwetsbaarheid.

De bug kon zorgen voor een integer overflow, waardoor aanvallers code konden uitvoeren op een GitLab-server. GitLab verhielp de kwetsbaarheid op 12 oktober, al voerde Ruby zelf de patch pas op 23 oktober door.

GitLab patchte de kwetsbaarheid op 12 oktober. Bron: Getty Images (beeld ter illustratie)

Poging tot exploit

Op 20 en 21 oktober probeerde een nieuw GitLab-account de kwetsbaarheid te misbruiken bij Alpine Linux. Het bedrijf draaide toen nog een GitLab-versie zonder de patch. De aanvaller kon het aanvalproces deels uitvoeren, al faalden de pogingen steeds bij een van de latere stappen.

Alpine Linux installeerde op 22 oktober de GitLab-update, maar ook daarmee was de kwetsbaarheid niet gedicht. Het gebruikt namelijk de standaardimage van Ruby en niet degene die GitLab meelevert. Aangezien Ruby zelf de patch pas op 23 oktober doorvoerde, bleef de kwetsbaarheid daardoor bestaan.

Volledige rebuild

Het team heeft geen enkel bewijs gevonden dat de kwetsbaarheid succesvol is uitgebuit. Voor zover bekend heeft de aanvaller ook geen code kunnen uitvoeren op de GitLab-server, al durven de ontwikkelaars dat niet volledig uit te sluiten. Ze weten wel zeker dat geen Alpine-releases of -packages zijn aangepast en geen signing keys zijn gestolen.

Toch besloot Alpine Linux zijn GitLab-server compleet opnieuw op te bouwen. Daarom sloot het team de server op 27 oktober af voor iedereen behalve ontwikkelaars en buildservers. Vervolgens begon het aan de herbouw. Op 28 oktober was die voltooid.

Een aanvaller probeerde de kwetsbaarheid meermaals te misbruiken. Bron: Getty Images (beeld ter illustratie)

Reacties (8)

[thePiett]

Leuk al die tijdswinst door AI, maar dankzij AI zijn we wel veel drukker met dingen patchen met z'n allen dankzij alle vulnerabilities die worden gevonden

[Reactie gewijzigd door thePiett op 29 oktober 2026 15:26]

[faim]

Op zich goed, wordt er eindelijk eens wat meer aandacht besteed aan patchen, waar dat voorheen nog wel eens op de stapel gegooid werd.

[KoffieMok]

Voorheen werden er ook minder bugs gevonden omdat AI nog niet zo sterk was.

Het blijft een kat&muis spel, alleen wordt het nu op hoger niveau gespeeld.

[The Realone]

Echter, is de hele business case van AI dat we dingen sneller moeten doen. Er zijn maar weinig mensen die echt beter worden van AI en dat zijn degenen die er van profiteren dat er sneller geleverd wordt. Ofwel, het idee is dat jij door AI niet minder gaat werken, maar productiever wordt. Je krijgt wel gewoon nog altijd hetzelfde betaald voor diezelfde aantal uren.

Waar wil ik naar toe? Die hogere productie leidt ook naar meer fouten. Of het nu de mens is die iets ontwikkeld en de mens die de kwetsbaarheden zal ontdekken, of dat AI beiden taken op zich neemt. Onder aan de streep zal daar weinig in veranderen.

[Luchtbakker]

Dit kat en muisspel houd je voorlopig nog wel. Totdat Ai zelf ook niet meer weet hoe ze moeten inbreken omdat een andere AI alles al potdicht heeft gezet.

[Keypunchie]

De hoop is dat het een hele hectische 6 maanden worden. En dat daarna we in een wereld met een hogere lat voor hacks leven.

Wat wel permanent blijft, de snelheid waarmee we moeten mitigeren bij CVE's. Maar hopelijk wordt de stroom CVE's wel kleiner en minder ernstig.

(Uit de praktijk kan ik je wel vertellen dat het niet de makkelijkste maanden voor beheerders zijn, maar aan de andere kant merk je dat organisaties wel een stuk security-bewuster zijn geworden. Je hoeft een stuk minder mensen van de noodzaak van extra patchrondes e.d. te overtuigen, voordat je aan de slag kan).

[Reactie gewijzigd door Keypunchie op 29 oktober 2026 16:17]

[K0L3N]

Tja, dat maakt de business case om eindelijk eens dat process zo ver mogelijk te automatiseren een stuk beter. Dus hopelijk is de uitkomst dat alle bedrijven beter en sneller kunnen patchen.

[thomasv]

Alpine is ook niet een kleintje als ik bedenk hoeveel containerized apps hierop draaien. Ook hier goed dat ze actief gereageerd hebben en server gewoon dichtgegooid hebben want de fallout hiervan was echt desastreus geweest als dit app updates via CI/CD had bereikt.