Vorbește cu un expert
PrețuriNoutățiVorbește cu un expert
Înapoi la Noutăți
Amenințări

Un RCE GitLab cu scor CVSS 10 și un DoS pentru firewall-urile Cisco intră pe lista CISA a vulnerabilităților exploatate

CISA a adăugat în catalogul KEV o vulnerabilitate de execuție de cod la distanță cu severitate maximă în GitLab și un defect de tip denial-of-service în Cisco Secure Firewall, după confirmarea exploatării. Breșa GitLab a fost deja încercată asupra infrastructurii Alpine Linux. Termen de remediere: 1 noiembrie 2026.

4T4Tify Team4Tify
Oct 30, 2026·5 min citire
Un RCE GitLab cu scor CVSS 10 și un DoS pentru firewall-urile Cisco intră pe lista CISA a vulnerabilităților exploatate

Un RCE GitLab cu scor CVSS 10 și un DoS pentru firewall-urile Cisco intră pe lista CISA a vulnerabilităților exploatate

Două noi vulnerabilități au intrat săptămâna aceasta în catalogul Known Exploited Vulnerabilities (KEV) al CISA, iar ambele cer atenție imediată: o breșă de execuție de cod la distanță cu severitate maximă în GitLab și un defect de tip denial-of-service în linia Cisco Secure Firewall. Agențiile civile federale din SUA au termen până la 1 noiembrie 2026 pentru a aplica remedierile. Orice altă organizație ar trebui să trateze această dată ca pe un reper rezonabil.

Ce a fost adăugat

  • CVE-2026-97229 (CVSS 10.0) – GitLab CE/EE. Un integer overflow (wraparound) în modul în care GitLab validează expresiile regulate din configurația CI/CD. Un atacator neautentificat poate trimite o definiție de pipeline special construită și poate executa cod arbitrar direct pe serverul GitLab.
  • CVE-2026-76418 (CVSS 8.6) – Cisco Secure Firewall ASA și FTD. O valoare de retur neverificată duce la o dereferențiere de pointer NULL. Un atacator de la distanță, fără autentificare, poate forța echipamentul să se restarteze neașteptat, scoțând firewall-ul din funcțiune.

Cisco a confirmat că defectul din firewall era deja exploatat la începutul lunii octombrie. Nu s-au făcut publice detalii despre cine se află în spatele activității, câte organizații au fost vizate sau ce au făcut atacatorii după ce au obținut acces.

Vulnerabilitatea GitLab a fost deja încercată în practică

Intrarea GitLab este legată de un incident la Alpine Linux. Pe 20 și 21 octombrie, un actor neidentificat a vizat instanța GitLab găzduită intern de distribuție, care nu fusese încă actualizată. Atacatorul a trimis configurații CI special construite care au prăbușit procesele worker ale GitLab de opt ori; în patru dintre aceste încercări, lanțul de exploatare s-a blocat la pasul următor. Același actor a descărcat și imaginea de container GitLab a proiectului Alpine. Încercările ulterioare de a reveni, pe 25 și 26 octombrie, au fost blocate.

Echipa Alpine a concluzionat că atacul a fost aproape de reușită. Nu a găsit dovezi ale unei compromiteri reușite, dar nici nu a putut-o exclude, așa că a tratat serverul ca fiind compromis și l-a reconstruit de la zero. Verificările de integritate au arătat că depozitul aports, arborele de pachete și versiunile publicate pe 21 octombrie nu au fost modificate.

De ce contează

  • GitLab este un punct critic al lanțului de aprovizionare software. Un RCE fără autentificare pe un server GitLab expune dintr-o dată codul sursă, secretele CI, cheile de semnare și pipeline-urile de build. Chiar și o tentativă eșuată, așa cum arată cazul Alpine, forțează o reconstrucție costisitoare și o verificare completă a integrității.
  • Firewall-urile sunt ținte de perimetru. Restartările repetate ale unui echipament ASA/FTD întrerup conectivitatea și accesul VPN și pot servi drept diversiune sau prim pas pentru alte activități.
  • Listarea în KEV înseamnă exploatare confirmată, nu risc teoretic. Vulnerabilitățile cu dovezi de exploatare activă ar trebui să sară în fruntea cozii de patch-uri.

Ce este de făcut

  1. Actualizați GitLab CE/EE la versiunile corectate publicate de GitLab. Dacă nu puteți aplica imediat actualizarea, limitați cine poate trimite configurații CI și verificați jurnalele pentru prăbușiri neobișnuite ale proceselor worker în perioada 20–26 octombrie.
  2. Actualizați Cisco ASA și FTD și urmăriți restartările neașteptate ale echipamentelor.
  3. Tratați GitLab-ul găzduit intern ca pe un activ critic: fără expunere directă la internet dacă nu este strict necesară, MFA pentru toți utilizatorii, jurnale de audit păstrate și rotirea secretelor CI după orice activitate suspectă.
  4. Verificați expunerea. Inventariați instanțele GitLab și firewall-urile Cisco accesibile din internet și confirmați versiunile instalate.

Serverele GitLab și interfețele de administrare ale firewall-urilor expuse în exterior sunt exact tipul de problemă pe care serviciul nostru de scanare de vulnerabilități este construit să îl identifice: versiuni neactualizate ale produselor aflate pe lista KEV, semnalate înainte ca termenul de remediere să conteze.

DISTRIBUIE