Giovedì, l'Agenzia per la Sicurezza Cibernetica e delle Infrastrutture degli Stati Uniti (CISA) ha aggiunto due vulnerabilità di sicurezza al suo catalogo delle Vulnerabilità Note Sfruttate (KEV) a causa di prove di sfruttamento attivo. L'aggiornamento prende di mira falle critiche nei software di GitLab e Cisco, sollecitando un'attenzione immediata da parte delle agenzie federali.
La prima vulnerabilità, identificata come CVE-2026-97229, presenta un punteggio CVSS massimo di 10.0. Si tratta di un problema di overflow o wraparound intero riscontrato sia nella GitLab Community Edition che nella Enterprise Edition. Questa falla consente agli utenti non autenticati di eseguire codice arbitrario sul server inviando un'espressione regolare appositamente elaborata all'interno di una configurazione CI/CD, sfruttando meccanismi di convalida insufficienti.
La seconda voce, CVE-2026-76418, ha un punteggio CVSS di 8.6 e interessa il software Cisco Secure Firewall Adaptive Security Appliance (ASA) e il software Secure Firewall Threat Defense (FTD). Questa vulnerabilità deriva da un valore di ritorno non controllato che porta a una dereferenziazione di puntatore NULL. Consente ad attaccanti remoti non autenticati di forzare il dispositivo a ricaricarsi inaspettatamente, provocando una condizione di negazione del servizio.
Cisco ha precedentemente rivelato la consapevolezza dello sfruttamento attivo della vulnerabilità dei suoi firewall all'inizio di questo mese, ma non ha identificato pubblicamente gli attaccanti, il numero di organizzazioni prese di mira o le azioni specifiche intraprese dagli attori delle minacce dopo aver ottenuto l'accesso iniziale.
Per quanto riguarda la falla di GitLab, l'aggiunta della CISA segue un incidente di sicurezza segnalato da Alpine Linux. Un attore della minaccia sconosciuto ha tentato di sfruttare la vulnerabilità contro un'istanza di Alpine Linux il 20 e il 21 ottobre 2026. L'attaccante ha sondato un'istanza di GitLab non corretta inviando configurazioni CI elaborate, causando l'arresto dei processi worker di GitLab otto volte. In quattro di questi casi, il tentativo di sfruttamento è fallito in una fase successiva.
L'attore della minaccia ha anche scaricato l'immagine del container GitLab di Alpine Linux. Ulteriori tentativi di rientrare nel sistema il 25 e il 26 ottobre sono stati bloccati con successo. Sebbene i manutentori della distribuzione Linux focalizzata sulla sicurezza abbiano dichiarato che l'attacco è stato vicino al successo, non hanno trovato prove definitive di un esito positivo. Tuttavia, non potendo escludere una compromissione, hanno trattato l'istanza come violata e l'hanno ricostruita da zero. Controlli successivi hanno confermato che il repository aports, i pacchetti e le release del 21 ottobre sono rimasti intatti.
Alla luce di queste campagne di sfruttamento attivo, alle agenzie del ramo esecutivo civile federale (FCEB) si consiglia di applicare le correzioni necessarie entro il 1° novembre 2026.
Fonti: The Hacker News.