CISA nimmt aktiv ausgenutzte Lücken in GitLab und Cisco-Firewalls in den KEV-Katalog auf

Im Einzelnen handelt es sich um:

• CVE-2026-97229 (CVSS-Wert 10.0) – ein Integer-Überlauf beziehungsweise Wraparound in GitLab Community Edition und Enterprise Edition. Wegen unzureichender Prüfung regulärer Ausdrücke kann ein nicht authentifizierter Nutzer über einen speziell präparierten regulären Ausdruck in einer CI/CD-Konfiguration beliebigen Code auf dem GitLab-Server ausführen.
• CVE-2026-76418 (CVSS-Wert 8.6) – ein nicht geprüfter Rückgabewert, der zu einer NULL-Pointer-Dereferenzierung in Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Secure Firewall Threat Defense (FTD) Software führt. Ein nicht authentifizierter Angreifer kann aus der Ferne einen unerwarteten Neustart des Geräts und damit eine Dienstblockade (DoS) auslösen.

Cisco hatte Anfang des Monats erklärt, von einer aktiven Ausnutzung dieser Schwachstelle Kenntnis erlangt zu haben. Das Unternehmen nannte öffentlich weder die Angreifer noch die Zahl der betroffenen Organisationen oder das Vorgehen nach dem initialen Zugriff.

Die Aufnahme von CVE-2026-97229 steht im Zusammenhang mit einem Sicherheitsvorfall, den Alpine Linux offengelegt hat: Am 20. und 21. Oktober 2026 versuchte ein unbekannter Akteur erfolglos, die Lücke gegen die GitLab-Instanz des Projekts auszunutzen. Der Angreifer sondierte die ungepatchte Instanz mit präparierten CI-Konfigurationen und brachte GitLab-Worker-Prozesse achtmal zum Absturz; in vier dieser Fälle scheiterte der Exploit im nächsten Schritt. Zudem lud der Angreifer das GitLab-Container-Image von Alpine Linux herunter. Weitere Zugriffsversuche am 25. und 26. Oktober wurden blockiert.

„Der Angriff war nahe dran zu funktionieren", erklärten die Maintainer der auf Sicherheit ausgerichteten Linux-Distribution. „Wir haben keine Hinweise darauf gefunden, dass er erfolgreich war, können es aber nicht ausschließen, daher haben wir die Instanz als kompromittiert behandelt und von Grund auf neu aufgebaut." Die Prüfungen hätten ergeben, dass das aports-Repository, die Pakete und die Releases vom 21. Oktober nicht manipuliert wurden.