De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft donderdag twee beveiligingslekken in Cisco- en GitLab-software toegevoegd aan haar Known Exploited Vulnerabilities (KEV)-lijst, op basis van bewijs van actieve uitbuiting.
De kwetsbaarheden zijn hieronder opgesomd:
- CVE-2026-97229 (CVSS-score: 10.0) – Een integer overflow- of wraparound-kwetsbaarheid in GitLab Community Edition en Enterprise Edition die een niet-geauthenticeerde gebruiker in staat kan stellen arbitraire code uit te voeren op de GitLab-server via een speciaal geconstrueerde reguliere expressie in een CI/CD-configuratie als gevolg van onvoldoende validatie van reguliere expressies.
- CVE-2026-76418 (CVSS-score: 8.6) – Een kwetsbaarheid waarbij een niet-gecontroleerde returnwaarde kan leiden tot een NULL-pointer dereferentie in Cisco Secure Firewall Adaptive Security Appliance (ASA) Software en Secure Firewall Threat Defense (FTD) Software. Hierdoor kan een niet-geauthenticeerde, externe aanvaller het apparaat onverwacht laten herstarten, wat kan resulteren in een denial-of-service (DoS)-situatie.
Deze ontwikkeling volgt op een verklaring van Cisco dat het eerder deze maand op de hoogte is gekomen van actieve uitbuiting van deze kwetsbaarheid. Cisco heeft niet publiekelijk de aanvallers, het aantal gerichte organisaties of de handelingen die aanvallers na het verkrijgen van initiële toegang hebben uitgevoerd, bekendgemaakt.
Wat CVE-2026-97229 betreft, hangt de opname samen met een beveiligingsincident dat door Alpine Linux is gemeld waarin een onbekende dreigingsactor op 20 en 21 oktober 2026 probeerde de kwetsbaarheid uit te buiten op hun instantie, zonder succes.
Specifiek onderzocht de aanvaller een niet-gepatchte GitLab-instantie door geconstrueerde CI-configuraties te versturen, waardoor de GitLab-workerprocessen acht keer crashten. Bij vier van die crashes mislukte de exploit bij de volgende stap.
De dreigingsactor heeft ook het GitLab-containerbeeld van Alpine Linux gedownload. Latere pogingen van de aanvaller om op 25 en 26 oktober weer binnen te komen, werden geblokkeerd.
“De aanval kwam dichtbij succes,” zeiden de beheerders van de beveiligingsgerichte Linux-distributie. “We hebben geen bewijs gevonden dat het gelukt is, maar we kunnen het niet volledig uitsluiten, dus hebben we de instantie als gecompromitteerd behandeld en volledig opnieuw opgebouwd. Onze controles tonen aan dat de aports-repository, de pakketten en de releases van 21 oktober niet zijn gemanipuleerd.”
Gezien de actieve uitbuiting wordt aan agentschappen van de Federal Civilian Executive Branch (FCEB) aanbevolen de patches uiterlijk 1 november 2026 toe te passen.
