El jueves, la Agencia de Seguridad Cibernética e Infraestructural de EE. UU. (CISA) añadió dos vulnerabilidades de seguridad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) debido a la evidencia de una explotación activa. La actualización se centra en fallos críticos en el software de GitLab y Cisco, lo que exige una atención inmediata por parte de las agencias federales.

La primera vulnerabilidad, identificada como CVE-2026-97229, tiene una puntuación máxima CVSS de 10.0. Se trata de un problema de desbordamiento o rebasamiento de enteros encontrado tanto en GitLab Community Edition como en Enterprise Edition. Este fallo permite a usuarios no autenticados ejecutar código arbitrario en el servidor enviando una expresión regular especialmente diseñada dentro de una configuración de CI/CD, aprovechando mecanismos de validación insuficientes.

La segunda entrada, CVE-2026-76418, tiene una puntuación CVSS de 8.6 y afecta al software Cisco Secure Firewall Adaptive Security Appliance (ASA) y al software Secure Firewall Threat Defense (FTD). Esta vulnerabilidad surge de un valor de retorno no verificado que conduce a una referencia a un puntero nulo. Permite a atacantes remotos no autenticados forzar la recarga inesperada del dispositivo, lo que resulta en una condición de denegación de servicio.

Cisco reveló anteriormente su conocimiento sobre la explotación activa de su vulnerabilidad de firewall a principios de este mes, pero no ha identificado públicamente a los atacantes, el número de organizaciones objetivo ni las acciones específicas tomadas por los actores de amenazas después de obtener el acceso inicial.

Con respecto al fallo de GitLab, la adición de CISA sigue a un incidente de seguridad reportado por Alpine Linux. Un actor de amenaza desconocido intentó explotar la vulnerabilidad contra una instancia de Alpine Linux el 20 y 21 de octubre de 2026. El atacante sondeó una instancia de GitLab sin parches enviando configuraciones de CI diseñadas, lo que provocó que los procesos de trabajo de GitLab se cayeran ocho veces. En cuatro de estos casos, el intento de explotación falló en un paso posterior.

El actor de amenazas también descargó la imagen de contenedor de GitLab de Alpine Linux. Intentos posteriores de volver a entrar en el sistema el 25 y 26 de octubre fueron bloqueados con éxito. Si bien los mantenedores de la distribución de Linux centrada en la seguridad declararon que el ataque estuvo cerca de funcionar, no encontraron evidencia definitiva de éxito. Sin embargo, al no poder descartar un compromiso, trataron la instancia como violada y la reconstruyeron desde cero. Las verificaciones posteriores confirmaron que el repositorio aports, los paquetes y las versiones del 21 de octubre permanecieron sin alteraciones.

A la luz de estas campañas de explotación activa, se aconseja a las agencias del Ramo Ejecutivo Civil Federal (FCEB) que apliquen las correcciones necesarias antes del 1 de noviembre de 2026.

Fuentes: The Hacker News.