พบช่องโหว่ GitLab ระดับสูงสุดถูกใช้โจมตี Alpine Linux

พบการนำช่องโหว่การรันโค้ด (Code Execution) ล่าสุดใน GitLab มาใช้โจมตีจริงเพียงหนึ่งสัปดาห์หลังการเปิดเผยข้อมูล โดยเป้าหมายคืออินสแตนซ์ของ Alpine Linux แต่การโจมตีดังกล่าวไม่ประสบความสำเร็จ

ช่องโหว่ดังกล่าวมีรหัส CVE-2026-97229 ได้รับคะแนนความรุนแรง CVSS เต็ม 10/10 โดยมีสาเหตุมาจากการตรวจสอบ regular expression ที่ไม่เพียงพอใน Onigmo ซึ่งเป็นเอนจินของภาษา Ruby

GitLab ได้ระบุใน advisory เมื่อวันที่ 12 ตุลาคมว่า บั๊กนี้อาจเปิดช่องให้ผู้ใช้ที่ไม่ได้ยืนยันตัวตนสามารถรันโค้ดอันตราย (Arbitrary Code) บนเซิร์ฟเวอร์ GitLab ผ่านการสร้าง regular expression รูปแบบพิเศษในคอนฟิกูเรชัน CI/CD

ทาง Alpine Linux รายงานว่าพบผู้ไม่หวังดีพยายามใช้ exploit ของ CVE-2026-97229 โจมตีอินสแตนซ์ GitLab ของตนในวันที่ 20 และ 21 ตุลาคม แม้การโจมตีจะล้มเหลว แต่ทางดิสทริบิวชัน Linux ตัดสินใจสร้างอินสแตนซ์ใหม่ทั้งหมดเพื่อความปลอดภัย

Alpine Linux ระบุ ว่าจากการตรวจสอบพบว่า aports repository รวมถึงแพ็กเกจต่างๆ และเวอร์ชันที่เปิดตัวเมื่อวันที่ 21 ตุลาคม ไม่ได้ถูกแก้ไขดัดแปลงแต่อย่างใด

ปัจจุบันยังมีการทดสอบอินสแตนซ์ GitLab ก่อนเปิดใช้งานสาธารณะ โดยได้รีเซ็ตรหัสผ่านทั้งหมดและแจ้งเตือนว่าพบความพยายามล็อกอินอัตโนมัติด้วยรหัสผ่านที่หลุดจากเหตุการณ์อื่นร่วมด้วย

ในเหตุการณ์เมื่อวันที่ 20-21 ตุลาคม แฮกเกอร์ใช้บัญชีที่เพิ่งจดทะเบียนใหม่ส่งคอนฟิกูเรชัน CI พิเศษไปยังอินสแตนซ์ของ Alpine Linux ส่งผลให้กระบวนการทำงานของ worker ล่มลงถึง 4 ครั้ง ซึ่งผู้โจมตีพยายามปรับจูน exploit ให้เข้ากับระบบจากการดาวน์โหลด container image ของทาง Alpine ไปศึกษา แต่ยังไม่พบหลักฐานว่ามีการรันโค้ดบนเซิร์ฟเวอร์ได้สำเร็จ

ประเด็นสำคัญคือช่องโหว่นี้เกิดขึ้นที่ตัวภาษา Ruby ไม่ใช่ GitLab โดยตรง หากผู้ใช้งานรัน GitLab ด้วย Ruby ที่ติดตั้งเองแทนการใช้แพ็กเกจสำเร็จรูป การอัปเกรด GitLab เพียงอย่างเดียวจะไม่เพียงพอ แต่จำเป็นต้องอัปเกรด Ruby เป็นเวอร์ชัน 3.3.13, 3.4.12, 4.0.9 หรือใหม่กว่าตามที่ Alpine Linux แนะนำ

ล่าสุดหน่วยงาน CISA ของสหรัฐฯ ได้เพิ่ม CVE-2026-97229 ลงในแคตตาล็อก KEV พร้อมสั่งการให้หน่วยงานรัฐบาลเร่งแก้ไขช่องโหว่นี้ภายในสามวัน