CISA alerta sobre la explotación activa de un RCE en GitLab y un DoS en firewalls Cisco

Dos vulnerabilidades muy distintas entraron el 29 de octubre de 2026 en el catálogo Known Exploited Vulnerabilities (KEV) de CISA: un fallo de ejecución remota de código de severidad máxima en GitLab y un error que deja fuera de servicio a los equipos de la línea Cisco Secure Firewall. Ambas se están explotando en ataques reales, y las agencias civiles federales de EE. UU. tienen hasta el 1 de noviembre de 2026 para aplicar los parches. Es un plazo inusualmente corto y refleja la gravedad que la agencia atribuye al riesgo.

Qué se añadió

CVE-2026-97229 — GitLab CE/EE (CVSS 10.0). Un desbordamiento de entero en la forma en que GitLab valida las expresiones regulares dentro de la configuración de CI/CD. Como la comprobación es insuficiente, un atacante no autenticado puede introducir una regex especialmente diseñada en la definición de un pipeline y ejecutar código arbitrario en el propio servidor GitLab. Sin cuenta, sin token y sin acceso previo.

CVE-2026-76418 — Cisco Secure Firewall ASA y FTD (CVSS 8.6). Un valor de retorno no comprobado provoca una desreferencia de puntero NULL. Un atacante remoto y no autenticado puede desencadenarla para que el equipo se reinicie de forma inesperada y el firewall quede fuera de línea. Cisco afirma que tuvo conocimiento de la explotación a principios de octubre, pero no ha dicho quién está detrás, cuántas organizaciones se vieron afectadas ni qué hicieron los atacantes una vez dentro.

El incidente de GitLab en Alpine Linux

La entrada de GitLab está vinculada a un incidente en Alpine Linux, la distribución centrada en seguridad que sirve de base a una enorme cantidad de imágenes de contenedores. Los días 20 y 21 de octubre, un actor desconocido atacó la instancia GitLab del proyecto con configuraciones de CI manipuladas. Las cargas hicieron caer los procesos worker de GitLab ocho veces; en cuatro de esos intentos la cadena de explotación superó la caída y solo falló en el paso siguiente. El atacante también descargó la imagen de contenedor GitLab de Alpine, presumiblemente para estudiarla. Los nuevos intentos de los días 25 y 26 de octubre fueron bloqueados.

Los mantenedores fueron francos: el ataque estuvo cerca de funcionar. No encontraron pruebas de que tuviera éxito, pero tampoco pudieron descartarlo, así que trataron el servidor como comprometido y lo reconstruyeron desde cero. Sus comprobaciones indican que el repositorio de fuentes aports, los paquetes publicados y las versiones del 21 de octubre no fueron manipulados.

Por qué importa

Un servidor GitLab autoalojado es una joya de la corona. Contiene código fuente, secretos de CI, credenciales de despliegue y, muy a menudo, las llaves de producción. Un RCE sin autenticación con CVSS 10 en ese sistema es lo peor que le puede pasar a un equipo de software, y el incidente de Alpine demuestra que los atacantes ya están apuntándole con código de explotación funcional. El próximo objetivo quizá no tenga la misma combinación de registros, vigilancia y suerte.

El fallo de Cisco es «solo» una denegación de servicio, pero el equipo afectado es un firewall perimetral. Dejarlo fuera de línea interrumpe el acceso VPN y la inspección de tráfico, y los reinicios repetidos pueden servir de cobertura o de herramienta de presión. Los dispositivos de borde llevan años siendo la puerta de entrada favorita de los grupos alineados con Estados, así que cualquier fallo de ASA o FTD bajo explotación activa merece atención inmediata.

Las entradas del KEV solo son vinculantes para las agencias federales estadounidenses, pero el catálogo es una de las señales públicas más fiables de lo que los atacantes están usando realmente ahora mismo. Las organizaciones privadas deberían tratar una incorporación al KEV como una orden de «parchear esta semana», no como un elemento del backlog.

Qué hacer

• Administradores de GitLab: actualicen ya todas las instancias autogestionadas CE y EE a la versión corregida. Si no pueden parchear de inmediato, restrinjan el acceso de red a la instancia y revisen las definiciones de pipeline recientes en busca de patrones regex inesperados o malformados.
• Asuman compromiso si estuvieron expuestos. Revisen los registros de los workers de GitLab en busca de caídas repetidas en octubre, auditen las configuraciones de CI/CD nuevas o modificadas y roten los tokens de runner, las claves de despliegue y cualquier secreto almacenado en variables de CI si algo resulta sospechoso.
• Operadores de Cisco ASA y FTD: apliquen la versión de software corregida, vigilen reinicios inexplicables en los registros del equipo y asegúrense de que las interfaces de gestión no sean accesibles desde internet.
• Todos: mantengan un inventario del software expuesto a internet y de sus versiones, y sigan las actualizaciones del KEV para que cada nueva entrada se relacione con sus activos en cuestión de horas, no de semanas.

Fallos como estos son exactamente lo que el escaneo de vulnerabilidades continuo está diseñado para detectar: una versión desactualizada de GitLab o un ASA sin parchear aparece como un hallazgo priorizado y asociado a la versión antes de que un atacante lo encuentre por ustedes. Nuestro equipo ejecuta estas comprobaciones de forma continua sobre el perímetro externo de los clientes, de modo que una incorporación al KEV se convierte en un ticket con responsable, no en una sorpresa.