Jeudi, l'Agence américaine de la cybersécurité et de la sécurité des infrastructures (CISA) a ajouté deux vulnérabilités de sécurité à son catalogue des vulnérabilités connues exploitées (KEV) en raison de preuves d'une exploitation active. Cette mise à jour cible des failles critiques dans les logiciels de GitLab et Cisco, incitant les agences fédérales à une attention immédiate.
La première vulnérabilité, identifiée sous le nom CVE-2026-97229, présente un score CVSS maximal de 10,0. Il s'agit d'un problème de débordement ou d'enroulement d'entier trouvé à la fois dans GitLab Community Edition et Enterprise Edition. Cette faille permet aux utilisateurs non authentifiés d'exécuter du code arbitraire sur le serveur en soumettant une expression régulière spécialement conçue au sein d'une configuration CI/CD, exploitant des mécanismes de validation insuffisants.
La deuxième entrée, CVE-2026-76418, a un score CVSS de 8,6 et affecte le logiciel Cisco Secure Firewall Adaptive Security Appliance (ASA) et le logiciel Secure Firewall Threat Defense (FTD). Cette vulnérabilité provient d'une valeur de retour non vérifiée menant à une déréférenciation de pointeur NULL. Elle permet aux attaquants distants non authentifiés de forcer le redémarrage inattendu du dispositif, entraînant une condition de déni de service.
Cisco a précédemment divulgué sa prise de conscience d'une exploitation active de sa vulnérabilité de pare-feu plus tôt ce mois-ci, mais n'a pas publiquement identifié les attaquants, le nombre d'organisations ciblées ou les actions spécifiques entreprises par les acteurs malveillants après avoir obtenu un accès initial.
Concernant la faille GitLab, l'ajout de CISA fait suite à un incident de sécurité signalé par Alpine Linux. Un acteur menaçant inconnu a tenté d'exploiter la vulnérabilité contre une instance Alpine Linux les 20 et 21 octobre 2026. L'attaquant a sondé une instance GitLab non corrigée en envoyant des configurations CI conçues, ce qui a provoqué le plantage des processus de travail GitLab à huit reprises. Dans quatre de ces cas, la tentative d'exploitation a échoué à une étape ultérieure.
L'acteur menaçant a également téléchargé l'image de conteneur GitLab d'Alpine Linux. De nouvelles tentatives de réentrée dans le système les 25 et 26 octobre ont été bloquées avec succès. Bien que les mainteneurs de cette distribution Linux axée sur la sécurité aient déclaré que l'attaque était proche de réussir, ils n'ont trouvé aucune preuve définitive de succès. Cependant, incapables d'exclure une compromission, ils ont traité l'instance comme violée et l'ont reconstruite à partir de zéro. Des vérifications ultérieures ont confirmé que le référentiel aports, les paquets et les versions du 21 octobre restaient intacts.
Compte tenu de ces campagnes d'exploitation active, il est conseillé aux agences civiles exécutives fédérales (FCEB) d'appliquer les correctifs nécessaires d'ici le 1er novembre 2026.
Sources: The Hacker News.