--- title: "Alpine Linux reconstruit son GitLab après une tentative d'exploitation" description: "Les 20 et 21 octobre, des attaquants ont visé le GitLab d'Alpine Linux via une faille critique ; le projet a reconstruit son serveur et réinitialisé tous les mots de passe. Une instance mise à jour peut rester vulnérable, sur un maillon dont dépendent de nombreuses images Docker." canonical: https://inyourgeek.com/articles/2026-11-01-alpine-linux-reconstruit-son-gitlab-apres-une-tentative-d type: article author: "Sébastien Soulier" publisher: "InYourGeek" language: fr datePublished: 2026-11-01 dateModified: 2026-11-01 section: "Sécurité" tags: ["alpine", "gitlab", "ruby", "ci"] --- # Alpine Linux reconstruit son GitLab après une tentative d'exploitation > Les 20 et 21 octobre, des attaquants ont visé le GitLab d'Alpine Linux via une faille critique ; le projet a reconstruit son serveur et réinitialisé tous les mots de passe. Une instance mise à jour peut rester vulnérable, sur un maillon dont dépendent de nombreuses images Docker. 1 novembre 2026 · Sécurité · 3 min Selon un article de [Bleeping Computer](https://www.bleepingcomputer.com/news/security/alpine-linux-rebuilds-gitlab-after-attempted-rce-attack/) publié le 1er novembre 2026, qui s'appuie sur le compte rendu de l'équipe d'Alpine Linux, des attaquants ont tenté d'exploiter la faille CVE-2026-97229 sur l'instance GitLab du projet les 20 et 21 octobre. L'équipe a depuis reconstruit ce serveur de zéro et réinitialisé l'ensemble des mots de passe. Ce récit repose à ce stade sur une seule source de presse, et les éléments ci-dessous sont à lire avec cette réserve. ## Une faille critique dans le moteur d'expressions régulières CVE-2026-97229 est classée au niveau de gravité maximal. Il s'agit d'un dépassement d'entier dans Onigmo, le compilateur d'expressions régulières fourni avec Ruby et utilisé par la partie CI/CD de GitLab. Dans certaines conditions, un attaquant non authentifié pourrait exécuter du code arbitraire sur le serveur en soumettant une expression régulière forgée dans la configuration d'un pipeline. GitLab a publié l'avis et les correctifs le 12 octobre. Les 20 et 21 octobre, des configurations CI malveillantes visant cette faille ont été soumises à l'instance d'Alpine. Elles auraient provoqué huit plantages de processus workers, dont quatre ont partiellement réussi, mais aucune tentative ne semble être allée jusqu'au bout. Les attaquants ont aussi téléchargé l'image de conteneur GitLab d'Alpine, ce qui laisse penser, selon la source, qu'ils préparaient une attaque sur la chaîne d'approvisionnement. ## Mis à jour deux fois, toujours vulnérable Tout l'incident tient dans le calendrier des mises à jour. Alpine a d'abord installé GitLab 19.3.4 au lieu de la version corrigée, la 19.3.5. Le passage ultérieur à la 19.3.6 n'a pas suffi non plus : le correctif exigeait un Ruby corrigé, que GitLab livre dans ses paquets officiels mais que l'image de conteneur maison d'Alpine n'intégrait pas. Le numéro de version de GitLab désignait donc une instance corrigée, alors que le composant réellement vulnérable ne l'était pas. Toute équipe qui reconstruit ses propres images à partir des versions officielles s'expose au même décalage : le correctif ne se trouve pas toujours dans le composant dont on surveille la version. ## Pourquoi une distribution est une cible de choix Alpine Linux est un système léger, très utilisé comme base d'images Docker. Son GitLab héberge les dépôts de développement, les revues de code et les tâches de CI, dont les recettes de construction `aports` qui servent à produire les paquets de la distribution. Une altération de cet environnement pourrait se propager aux logiciels en aval, bien au-delà du projet lui-même. ## Ce qui est établi, et ce qui ne l'est pas L'équipe d'Alpine indique n'avoir trouvé aucune altération des commits, des paquets ou des versions publiées jusqu'au 27 octobre. Les clés de signature ne sont pas stockées sur le serveur GitLab et n'ont donc pas pu être exposées. En revanche, comme des journaux manquent et que les connexions sortantes n'étaient pas enregistrées, elle ne peut pas exclure une exécution de code. C'est ce qui l'a conduite à reconstruire l'instance plutôt qu'à la remettre en état. Si l'exploitation avait réussi, plusieurs données auraient pu être exposées : informations sur les utilisateurs, empreintes de mots de passe, secrets de double authentification, secrets CI/CD, identifiants d'intégration et contenu des projets privés. Aucune de ces compromissions n'est confirmée. Alpine invite les détenteurs d'un compte sur ce GitLab à réinitialiser leur mot de passe. Les administrateurs qui utilisent l'image alpinelinux/gitlab doivent récupérer la version 19.3.6 publiée le 27 octobre : elle embarque Ruby 3.3.13 et corrige CVE-2026-97229. La mise à jour avait été faite deux fois, mais c'est la dépendance qu'elle n'apportait pas qui a laissé la porte entrouverte. ## Sources - [Alpine Linux rebuilds GitLab after attempted RCE attack](https://www.bleepingcomputer.com/news/security/alpine-linux-rebuilds-gitlab-after-attempted-rce-attack/) — bleepingcomputer.com _Article rédigé avec assistance IA à partir des sources citées, relu et validé par un humain avant publication._ --- Page HTML équivalente : https://inyourgeek.com/articles/2026-11-01-alpine-linux-reconstruit-son-gitlab-apres-une-tentative-d Publié par InYourGeek — https://inyourgeek.com/a-propos Méthode et garde-fous : https://inyourgeek.com/methode Tous les articles : https://inyourgeek.com/archives