Alpine Linux GitLab sunucusunu sıfırdan kurdu; CVE-2026-97229 saldırısı sonrası tüm parolalar sıfırlandı

Alpine Linux, 20-21 Ekim'de GitLab sunucusuna yapılan ve maksimum şiddette bir uzaktan kod çalıştırma açığını hedefleyen saldırı girişimlerinin ardından sunucusunu baştan kurdu ve tüm parolaları sıfırladı; 1.000'den fazla GitLab sunucusu hâlâ yamasız.

Alpine Linux, GitLab sunucusunu sıfırdan yeniden kurdu ve tüm parolaları sıfırladı. Bu adım, saldırganların 20 ve 21 Ekim'de sunucuya tekrar tekrar sömürü denemeleri yapmasının ardından atıldı. Açık, GitLab'ın CI/CD düzenli ifade işlemesindeki CVE-2026-97229 numaralı, maksimum şiddette bir uzaktan kod çalıştırma açığı. Denemeler GitLab süreçlerini defalarca çökertti, birkaçı ise kısmen başarıya ulaştı.

Alpine, 27 Ekim'e kadar depolarında, paketlerinde ya da sürümlerinde herhangi bir kurcalama bulamadı. Ancak kanıt olarak gerekli olan kayıtların, özellikle günlüklerin ve dış bağlantı kayıtlarının eksik olması, kod çalıştırmanın gerçekleşmediğini kesin olarak doğrulamaya izin vermedi. Saldırganların GitLab konteyner imajını indirmiş olması, bir tedarik zinciri saldırısına işaret edebileceği için ayrıca endişe yaratıyor.

Ayrı bir tabloda, Shadowserver internete açık ve hâlâ yamasız 1.000'den fazla GitLab sunucusunu izliyor. GitLab düzeltmeleri 12 Ekim'de yayımladı ve CISA açığı Bilinen Sömürülen Güvenlik Açıkları kataloğuna ekledi. Kendi sunucusunu işleten GitLab kullanıcılarının yamalı bir sürüme geçmesi gerekiyor; Alpine kullanıcıları ise parolalarını sıfırlamalı ve yeniden oluşturulmuş imajı çekmeli.