10 月 20 日至 21 日，Alpine Linux 遭遇了一次针对 GitLab 的远程代码执行攻击，攻击者试图利用 CVE-2026-97229（CVSS 评分为 10.0）绕过 CI 配置验证。尽管 Alpine 团队在事后第一时间将 GitLab 升级至 19.3.6 版本，但这次常规的补救措施却失效了，服务器在随后数日内依然处于漏洞暴露状态。
这次事件的核心警示在于：在容器化时代，我们习惯于通过版本更新来修补漏洞，但如果应用逻辑与底层运行时（Runtime）解耦，仅仅更新应用镜像往往会带来“虚假的安全感”。对于采用自定义构建镜像的 DevOps 团队而言，审计底层解释器（如 Ruby）的补丁 provenance 已成为保障供应链安全的新准入门槛。
升级失效背后的『版本陷阱』
CVE-2026-97229 的本质并非 GitLab 代码逻辑错误，而是其深度依赖的 Ruby 正则表达式引擎 Onigmo 存在整数溢出。GitLab 虽然在 10 月 12 日发布了修复包，但该修复方案实际上依赖于底层的 Ruby 环境必须同步打入 Onigmo 补丁。
Alpine Linux 的教训在于，他们升级了 GitLab 应用，却忽略了自定义容器镜像中使用的标准 Ruby 运行环境尚未获得该补丁。这意味着即使版本号显示已更新，系统内核级的代码执行后门依然开启。
重建即正义：不可知论下的应急阈值
Alpine Linux 最终选择彻底重建 GitLab 实例，而非在现有的服务器上继续排查。这种决策基于一种非常务实的判断：一旦攻击者能够利用 CVE-2026-97229 实现代码执行，现有的 Web 日志和系统文件均已不可信。
对于运维工程师来说，这种“宁可错杀，不可放过”的决策体现了在现代安全应急中的高成本与高确定性权衡。如果攻击链中存在无法确认的环节（如 Alpine 缺失的出站网络日志），盲目修补只会让你在已有的隐蔽后门上继续“缝补”旧系统。
- 提醒.不要仅通过版本号判断容器安全性。对于包含 Ruby、Node.js 或 Python 解释器的容器镜像，必须核实底层运行时包的更新时间与补丁合规性。
- 建议.针对高危害漏洞（如 CVSS 10.0），若审计环境缺失，彻底重建服务器实例（Infrastructure as Code 重新部署）往往是规避潜在“持久化木马”代价最低的方式。
行业惯例与后续的博弈
目前，GitLab 官方在提供软件包时已自动捆绑了修复后的 Ruby 运行时，但这种自动化并不延伸到用户自定义的容器镜像中。这意味着运维团队如果不建立一套审计容器内环境 provenance（来源）的流程，类似的补丁脱节仍会反复出现。
对于那些运行在 Kubernetes 集群或私有云上的 GitLab 实例，未来的重点不仅是监控 GitLab 版本更新，更要将运行时解释器的版本纳入漏洞扫描的白名单。在安全防御体系中，应用版本只是第一层过滤器，底层依赖的运行时补丁往往才是决定系统是否会被攻破的最后一公里。
注：CVE-2026-110264 与 CVE-2026-97229 同期修补，自建 GitLab 环境的运维人员应排查所有涉及正则处理的 CI/CD 插件配置，以防出现补丁覆盖范围缺失。