CISA semnalează exploatarea activă a unui RCE în GitLab și a unui DoS în firewall-urile Cisco

Două vulnerabilități foarte diferite au intrat pe 29 octombrie 2026 în catalogul Known Exploited Vulnerabilities (KEV) al CISA: o eroare de execuție de cod la distanță cu severitate maximă în GitLab și o problemă care blochează echipamentele din gama Cisco Secure Firewall. Ambele sunt folosite deja în atacuri reale, iar agențiile federale civile din SUA au termen de remediere 1 noiembrie 2026. Este un termen neobișnuit de scurt și arată cât de serios este evaluat riscul.

Ce a fost adăugat

CVE-2026-97229 — GitLab CE/EE (CVSS 10.0). Un integer overflow în modul în care GitLab validează expresiile regulate din configurația CI/CD. Verificarea fiind insuficientă, un atacator neautentificat poate introduce un regex special construit într-o definiție de pipeline și poate rula cod arbitrar direct pe serverul GitLab. Fără cont, fără token, fără acces prealabil.

CVE-2026-76418 — Cisco Secure Firewall ASA și FTD (CVSS 8.6). O valoare de retur neverificată duce la o dereferențiere de pointer NULL. Un atacator remote, neautentificat, poate declanșa eroarea și poate forța echipamentul să se reîncarce neașteptat, scoțând firewall-ul din funcțiune. Cisco spune că a aflat de exploatare la începutul lunii octombrie, dar nu a precizat cine se află în spatele atacurilor, câte organizații au fost vizate sau ce au făcut atacatorii după ce au obținut acces.

Incidentul GitLab de la Alpine Linux

Intrarea GitLab este legată de un incident la Alpine Linux, distribuția orientată pe securitate care stă la baza unei părți uriașe din imaginile de containere. Pe 20 și 21 octombrie, un actor necunoscut a vizat instanța GitLab a proiectului cu configurații CI special construite. Payload-urile au prăbușit procesele worker GitLab de opt ori; în patru dintre încercări lanțul de exploatare a trecut de prăbușire și a eșuat abia la pasul următor. Atacatorul a descărcat și imaginea de container GitLab a Alpine, probabil pentru a o studia. Revenirile din 25 și 26 octombrie au fost blocate.

Echipa de mentenanță a fost sinceră: atacul a fost aproape de reușită. Nu au găsit dovezi că ar fi avut succes, dar nici nu au putut exclude asta, așa că au tratat serverul ca fiind compromis și l-au reconstruit de la zero. Verificările arată că depozitul de surse aports, pachetele publicate și release-urile din 21 octombrie nu au fost modificate.

De ce contează

Un server GitLab self-hosted este o bijuterie a coroanei. Găzduiește cod sursă, secrete CI, credențiale de deployment și, de multe ori, cheile către producție. Un RCE neautentificat cu CVSS 10 pe un astfel de sistem este cel mai rău scenariu posibil pentru o echipă de software, iar incidentul Alpine arată că atacatorii îndreaptă deja cod de exploatare funcțional către el. Următoarea țintă s-ar putea să nu aibă aceeași combinație de logging, vigilență și noroc.

Eroarea Cisco este „doar” un denial of service, însă echipamentul afectat este un firewall de perimetru. Scoaterea lui din funcțiune întrerupe accesul VPN și inspecția traficului, iar reîncărcările repetate pot fi folosite drept acoperire sau ca mijloc de presiune. Echipamentele de margine sunt de câțiva ani punctul de intrare preferat al grupurilor aliniate statal, așa că orice vulnerabilitate ASA sau FTD exploatată activ merită atenție imediată.

Intrările KEV sunt obligatorii doar pentru agențiile federale americane, dar catalogul este unul dintre cele mai fiabile semnale publice despre ce folosesc efectiv atacatorii acum. Organizațiile private ar trebui să trateze o adăugare în KEV ca pe un semnal de „patch săptămâna aceasta”, nu ca pe un element de backlog.

Ce este de făcut

Administratorii GitLab: actualizați acum fiecare instanță self-managed CE și EE la versiunea corectată. Dacă nu puteți aplica patch-ul imediat, restricționați accesul de rețea la instanță și verificați definițiile recente de pipeline pentru tipare regex neobișnuite sau malformate.
Presupuneți compromiterea dacă ați fost expuși. Căutați în logurile worker GitLab prăbușiri repetate în octombrie, auditați configurațiile CI/CD noi sau modificate și rotiți token-urile de runner, cheile de deploy și orice secret stocat în variabilele CI dacă ceva pare suspect.
Operatorii Cisco ASA și FTD: aplicați versiunea de software corectată, urmăriți reîncărcările neexplicate în logurile echipamentului și asigurați-vă că interfețele de management nu sunt accesibile din internet.
Toată lumea: mențineți un inventar al software-ului expus în internet și al versiunilor sale și urmăriți actualizările KEV, astfel încât noile intrări să fie corelate cu activele voastre în câteva ore, nu în săptămâni.

Exact pentru astfel de vulnerabilități există scanarea de vulnerabilități continuă: o versiune veche de GitLab sau un ASA fără patch apare ca o constatare prioritizată, corelată cu versiunea, înainte ca un atacator să o găsească în locul vostru. Echipa noastră rulează aceste verificări în mod constant asupra perimetrului extern al clienților, astfel încât o adăugare în KEV devine un tichet cu un responsabil, nu o surpriză.