Am Donnerstag hat die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) zwei Sicherheitslücken in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, da Beweise für eine aktive Ausnutzung vorliegen. Die Aktualisierung betrifft kritische Fehler in Software von GitLab und Cisco und erfordert die sofortige Aufmerksamkeit der Bundesbehörden.
Die erste Schwachstelle, identifiziert als CVE-2026-97229, weist einen maximalen CVSS-Score von 10,0 auf. Es handelt sich um ein Problem mit Integer-Überlauf oder Wraparound, das sowohl in GitLab Community Edition als auch in Enterprise Edition gefunden wurde. Dieser Fehler ermöglicht es nicht authentifizierten Benutzern, beliebigen Code auf dem Server auszuführen, indem sie einen speziell erstellten regulären Ausdruck innerhalb einer CI/CD-Konfiguration übermitteln und dabei unzureichende Validierungsmechanismen ausnutzen.
Der zweite Eintrag, CVE-2026-76418, hat einen CVSS-Score von 8,6 und betrifft die Cisco Secure Firewall Adaptive Security Appliance (ASA) Software sowie die Secure Firewall Threat Defense (FTD) Software. Diese Schwachstelle resultiert aus einem nicht geprüften Rückgabewert, der zu einer NULL-Pointer-Dereferenzierung führt. Sie ermöglicht es nicht authentifizierten Remote-Angreifern, das Gerät zum unerwarteten Neustart zu zwingen, was zu einer Denial-of-Service-Bedingung führt.
Cisco hatte bereits früher diesen Monat die Kenntnis über eine aktive Ausnutzung seiner Firewall-Schwachstelle offengelegt, hat jedoch die Angreifer nicht öffentlich identifiziert, noch die Anzahl der betroffenen Organisationen oder spezifische Aktionen der Bedrohungsakteure nach dem Erreichen des ersten Zugriffs bekannt gegeben.
Hinsichtlich des GitLab-Fehlers folgt die Aufnahme durch die CISA auf einen Sicherheitsvorfall, der von Alpine Linux gemeldet wurde. Ein unbekannter Bedrohungsakteur versuchte am 20. und 21. Oktober 2026, die Schwachstelle gegen eine Alpine-Linux-Instanz auszunutzen. Der Angreifer untersuchte eine nicht gepatchte GitLab-Instanz, indem er erstellte CI-Konfigurationen sendete, wodurch die GitLab-Arbeiterprozesse acht Mal abstürzten. In vier dieser Fälle scheiterte der Ausnutzungsversuch in einem nachfolgenden Schritt.
Der Bedrohungsakteur lud zudem das GitLab-Container-Image von Alpine Linux herunter. Weitere Versuche, am 25. und 26. Oktober erneut in das System einzudringen, wurden erfolgreich blockiert. Obwohl die Maintainer der sicherheitsorientierten Linux-Distribution angaben, dass der Angriff fast funktioniert hätte, fanden sie keine eindeutigen Beweise für einen Erfolg. Da sie jedoch eine Kompromittierung nicht ausschließen konnten, behandelten sie die Instanz als kompromittiert und bauten sie von Grund auf neu auf. Nachfolgende Überprüfungen bestätigten, dass das aports-Repository, die Pakete und die Veröffentlichungen vom 21. Oktober unverändert blieben.
Angesichts dieser Kampagnen zur aktiven Ausnutzung wird den Behörden des zivilen Exekutivzweigs der Bundesregierung (FCEB) geraten, die notwendigen Korrekturen bis zum 1. November 2026 zu installieren.
Quellen: The Hacker News.