Alpine Linux reconstruyó su GitLab desde cero porque le faltaban los registros para saber qué pasó

Hackers intentaron explotar una falla crítica en el servidor del proyecto el 20 y 21 de octubre. No hubo pruebas de daño, pero tampoco de lo contrario.

2026-11-02

Alpine Linux, el sistema operativo ligero que sirve de base a muchas imágenes de contenedores Docker, reconstruyó su servidor GitLab y reinició todas las contraseñas tras un intento de ataque, informó BleepingComputer el 1 de noviembre de 2026.

Los atacantes intentaron explotar CVE-2026-97229, una falla de máxima gravedad en Onigmo, el compilador de expresiones regulares que viene con Ruby y que GitLab usa en sus procesos de CI/CD. Una configuración de pipeline con una expresión maliciosa podía permitir ejecutar código en el servidor sin autenticarse. GitLab publicó el arreglo el 12 de octubre. Alpine instaló primero la versión 19.3.4 en vez de la 19.3.5, que traía el parche. Luego actualizó a la 19.3.6, pero tampoco cerró el hueco: el arreglo requería un parche de Ruby que venía en los paquetes oficiales de GitLab y no en la imagen de contenedor propia de Alpine. El 20 y 21 de octubre, el atacante envió configuraciones maliciosas que tumbaron ocho procesos; cuatro tuvieron éxito parcial. También descargó la imagen de contenedor de GitLab de Alpine, una señal de que podía estar preparando un ataque a la cadena de suministro. Alpine no encontró cambios en commits, paquetes ni versiones hasta el 27 de octubre, y sus llaves de firma no están en ese servidor. El problema fue lo que no estaba. Al proyecto le faltaban registros y no tenía constancia de las conexiones salientes. «Como no podemos descartar la ejecución de código, y la evidencia que necesitaríamos para confirmarla ya no existe, tomamos el camino más difícil y reconstruimos la instancia de GitLab desde cero», explicó el equipo. Para la memoria de una organización, el caso muestra el costo de no guardar registros. Alpine tuvo que actuar como si lo peor hubiera pasado porque no tenía con qué demostrar lo contrario. Si los atacantes entraron, pudieron ver datos de usuarios, hashes de contraseñas, secretos de doble factor y de CI/CD, credenciales de integraciones y proyectos privados. En una empresa dominicana, el responsable de infraestructura puede comprobar esta semana si el servidor de código y el ERP guardan registros de las últimas cuatro semanas, incluidas las conexiones salientes, en un lugar distinto al propio servidor. Si no existen, ese es el primer pendiente, antes de cualquier otra compra de seguridad.Fuente: <a href="https://www.bleepingcomputer.com/news/security/alpine-linux-rebuilds-gitlab-after-attempted-rce-attack/">BleepingComputer: «Alpine Linux rebuilds GitLab after attempted RCE attack»</a>, 1 de noviembre de 2026.