CISA meldet aktive Ausnutzung von GitLab- und Cisco-Firewall-Schwachstellen

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat zwei Hochrisiko-Schwachstellen, die Software von GitLab und Cisco betreffen, in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Dieses Update vom Donnerstag, den 30. Oktober 2026, beruft sich auf bestätigte Hinweise darauf, dass Bedrohungsakteure diese Sicherheitslücken aktiv in freier Wildbahn ausnutzen.

Was passiert ist

Die erste Schwachstelle, gekennzeichnet als CVE-2026-97229, weist einen perfekten CVSS-Score von 10,0 auf. Sie betrifft sowohl GitLab Community Edition als auch Enterprise Edition. Der Fehler ermöglicht es einem nicht authentifizierten Benutzer, beliebigen Code auf dem Server auszuführen, indem er ein speziell präpariertes reguläres Muster innerhalb einer CI/CD-Konfiguration einreicht. Das Problem entsteht durch unzureichende Validierung regulärer Ausdrücke, was zu einem Ganzzahlüberlauf oder Wraparound-Fehler führt.

Der zweite Eintrag, CVE-2026-76418, betrifft die Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und die Secure Firewall Threat Defense (FTD) Software. Mit einem CVSS-Score von 8,6 involviert diese Schwachstelle einen nicht geprüften Rückgabewert, der zu einer NULL-Pointer-Dereferenzierung führt. Ein nicht authentifizierter, entfernter Angreifer kann diesen Bug auslösen, um das Gerät unerwartet neu starten zu lassen, was zu einer Denial-of-Service-(DoS)-Bedingung führt. Cisco hatte bereits Anfang des Monats bestätigt, dass eine aktive Ausnutzung dieser Schwachstelle erkannt wurde, konnte jedoch weder die Angreifer noch den Umfang der Kampagne identifizieren.

Die Aufnahme der GitLab-Schwachstelle folgt einer öffentlichen Offenlegung durch Alpine Linux. Die Maintainer berichteten, dass ein unbekannter Bedrohungsakteur am 20. und 21. Oktober 2026 versucht habe, die Schwachstelle gegen ihre Infrastruktur auszunutzen. Der Angreifer sandte präparierte CI-Konfigurationen, die dazu führten, dass GitLab-Worker-Prozesse achtmal abstürzten. In vier Fällen schlug der Exploit im darauffolgenden Schritt fehl. Der Akteur lud zudem das GitLab-Container-Image von der Instanz herunter. Obwohl spätere Versuche am 25. und 26. Oktober blockiert wurden, behandelte Alpine Linux die Instanz als kompromittiert und baute sie vorsorglich komplett neu auf.

Wie es funktioniert

Die GitLab-Schwachstelle nutzt aus, wie die Anwendung reguläre Ausdrücke in CI/CD-Pipelines verarbeitet. Reguläre Ausdrücke sind Muster, die verwendet werden, um Zeichenkombinationen in Strings abzugleichen. Wenn die Validierung schwach ist, kann ein böswillig komplexes Muster einen Ganzzahlüberlauf verursachen. Dies tritt auf, wenn eine Berechnung eine Zahl erzeugt, die größer ist als die maximal zulässige Größe des Datentyps, wodurch sie auf einen negativen oder kleinen Wert zurückspringt (Wraparound). In diesem Fall umgeht der Überlauf Sicherheitsprüfungen und ermöglicht Codeausführung ohne Authentifizierung.

Der Cisco-Fehler ist ein Speichermanagementfehler. Wenn Software nicht prüft, ob eine Funktion einen gültigen Wert zurückgegeben hat, bevor sie diesen verwendet, kann sie versuchen, auf einen NULL-Pointer zuzugreifen. Ein NULL-Pointer repräsentiert keine gültige Speicheradresse. Die Dereferenzierung führt zum Absturz des Programms oder, bei eingebetteten Systemen wie Firewalls, zu einem Neustart. Da dies remote und ohne Zugangsdaten ausgelöst werden kann, dient es als effektiver Vektor für Denial-of-Service-Angriffe.

Wichtige Details

• CVE-2026-97229: Kritische Remote-Code-Ausführung in GitLab CE und EE über CI/CD-Regex-Überlauf.
• CVE-2026-76418: Hochschwere DoS-Schwachstelle in Cisco ASA- und FTD-Software über NULL-Pointer-Dereferenzierung.
• Aktive Ausnutzung: Für beide Schwachstellen wurde eine aktive Ausnutzung in freier Wildbahn Ende Oktober 2026 bestätigt.
• Alpine-Linux-Vorfall: Angreifer ließen GitLab-Worker achtmal abstürzen und luden Container-Images herunter, scheiterten aber wahrscheinlich daran, die volle Kontrolle zu erlangen.
• Frist für Bundesbehörden: Agenturen des Federal Civilian Executive Branch müssen Patches bis zum 1. November 2026 anwenden.
• Cisco-Status: Aktive Ausnutzung bestätigt, aber Identität der Angreifer und Aktionen nach der Kompromittierung bleiben unbekannt.

Warum das wichtig ist

Für DevOps- und Infrastrukturteams signalisieren diese Ergänzungen im KEV-Katalog unmittelbare Risiken. Die GitLab-Schwachstelle ist besonders gefährlich, da keine Authentifizierung erforderlich ist. Wenn Ihre CI/CD-Pipelines externe Beiträge akzeptieren oder Ihre GitLab-Instanz internetseitig erreichbar ist, können Angreifer sie direkt ins Visier nehmen. Die Tatsache, dass Alpine Linux mehrere Crash-Versuche beobachtete, deutet darauf hin, dass automatisierte Scanning- und Exploit-Tools bereits im Umlauf sind.

Die Cisco-Schwachstelle unterstreicht die Fragilität von Perimeter-Verteidigungen. Firewalls sollen Netzwerke schützen, aber ein einfacher Fehler im Speichermanagement kann sie offline nehmen. Für Organisationen, die auf Cisco ASA- oder FTD-Geräte angewiesen sind, bedeutet dies potenzielle Netzwerkunterbrechungen, initiiert durch entfernte Akteure. Da die CISA schnelle Patching-Maßnahmen für Bundesbehörden vorschreibt, sollten Unternehmen aus dem Privatsektor diese Fristen als Best-Practice-Benchmarks betrachten, um eine ähnliche Exposition zu vermeiden.

Was Sie tun können

• Patchen Sie GitLab-Instanzen unverzüglich, um CVE-2026-97229 zu beheben, und priorisieren Sie dabei internetseitige Server.
• Aktualisieren Sie die Cisco ASA- und FTD-Software auf die neueste Version, um CVE-2026-76418 zu mitigieren.
• Überprüfen Sie die Konfigurationen Ihrer CI/CD-Pipelines, um einzuschränken, wer reguläre Ausdrücke einreichen oder ändern darf.
• Überwachen Sie Firewall-Logs auf ungewöhnliche Traffic-Spitzen oder unerwartete Neustarts, die auf DoS-Versuche hindeuten könnten.
• Stellen Sie sicher, dass Backup- und Rebuild-Prozeduren getestet sind, da Alpine Linux seine Instanz komplett neu aufbauen musste.
• Prüfen Sie, ob Ihre Organisation unter die Richtlinien für Bundesbehörden fällt, die eine Compliance bis zum 1. November 2026 erfordern.