CISA alerta de exploits activos en vulnerabilidades de GitLab y firewalls de Cisco

La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) ha añadido dos vulnerabilidades de alta severidad que afectan al software de GitLab y Cisco a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Esta actualización, publicada el jueves 30 de octubre de 2026, cita evidencia confirmada de que los actores de amenazas están explotando activamente estos fallos en entornos reales.

Qué ocurrió

La primera vulnerabilidad, identificada como CVE-2026-97229, tiene una puntuación CVSS perfecta de 10.0. Afecta tanto a GitLab Community Edition como a Enterprise Edition. El fallo permite a un usuario no autenticado ejecutar código arbitrario en el servidor mediante el envío de una expresión regular especialmente diseñada dentro de una configuración de CI/CD. Este problema se debe a una validación insuficiente de las expresiones regulares, lo que provoca un desbordamiento o error de envoltura de entero (integer overflow or wraparound).

La segunda entrada, CVE-2026-76418, afecta al software Cisco Secure Firewall Adaptive Security Appliance (ASA) y al Secure Firewall Threat Defense (FTD). Con una puntuación CVSS de 8.6, esta vulnerabilidad implica un valor de retorno no verificado que conduce a una desreferencia de puntero NULL. Un atacante remoto no autenticado puede provocar este bug para causar una recarga inesperada del dispositivo, resultando en una condición de denegación de servicio (DoS). Cisco reconoció a principios de este mes que detectó la explotación activa de este fallo, aunque no ha identificado a los atacantes ni el alcance de la campaña.

La inclusión de la vulnerabilidad de GitLab sigue a una divulgación pública por parte de Alpine Linux. Los mantenedores informaron que un actor de amenazas desconocido intentó explotar la vulnerabilidad contra su infraestructura los días 20 y 21 de octubre de 2026. El atacante envió configuraciones de CI manipuladas que hicieron fallar los procesos de trabajo de GitLab ocho veces. En cuatro instancias, el exploit falló en el paso siguiente. El actor también descargó la imagen del contenedor de GitLab desde la instancia. Aunque los intentos posteriores del 25 y 26 de octubre fueron bloqueados, Alpine Linux trató la instancia como comprometida y la reconstruyó desde cero como medida de precaución.

Cómo funciona

La vulnerabilidad de GitLab explota cómo la aplicación maneja las expresiones regulares en las pipelines de CI/CD. Las expresiones regulares son patrones utilizados para hacer coincidir combinaciones de caracteres en cadenas de texto. Cuando la validación es débil, un patrón maliciosamente complejo puede causar un desbordamiento de entero. Esto ocurre cuando un cálculo produce un número mayor que el tamaño máximo permitido para el tipo de datos, haciendo que envuelva hacia un valor negativo o pequeño. En este caso, el desbordamiento evade las comprobaciones de seguridad, permitiendo la ejecución de código sin autenticación.

El fallo de Cisco es un error de gestión de memoria. Cuando el software no verifica si una función devolvió un valor válido antes de usarlo, puede intentar acceder a un puntero NULL. Un puntero NULL representa la ausencia de una dirección de memoria válida. Desreferenciarlo provoca que el programa falle o, en sistemas embebidos como firewalls, active un reinicio. Dado que esto puede ser provocado remotamente sin credenciales, sirve como un vector efectivo de denegación de servicio.

Detalles clave

• CVE-2026-97229: Ejecución remota de código crítica en GitLab CE y EE mediante desbordamiento de regex en CI/CD.
• CVE-2026-76418: DoS de alta severidad en el software ASA y FTD de Cisco mediante desreferencia de puntero NULL.
• Explotación activa: Ambos fallos tienen confirmada su explotación activa en entornos reales a finales de octubre de 2026.
• Incidente de Alpine Linux: Los atacantes hicieron fallar los workers de GitLab ocho veces y descargaron imágenes de contenedores, pero probablemente no lograron obtener control total.
• Plazo federal: Las agencias del Rama Ejecutiva Civil Federal deben aplicar parches antes del 1 de noviembre de 2026.
• Estado de Cisco: Se confirma la explotación activa, pero la identidad del atacante y las acciones post-explotación siguen siendo desconocidas.

Por qué importa

Para los equipos de DevOps e infraestructura, estas adiciones al catálogo KEV señalan un riesgo inmediato. La vulnerabilidad de GitLab es particularmente peligrosa porque no requiere autenticación. Si sus pipelines de CI/CD aceptan contribuciones externas o si su instancia de GitLab está expuesta a internet, los atacantes pueden dirigirse directamente a ella. El hecho de que Alpine Linux observara múltiples intentos de caída sugiere que ya circulan herramientas automatizadas de escaneo y explotación.

La vulnerabilidad de Cisco destaca la fragilidad de las defensas perimetrales. Los firewalls están diseñados para proteger redes, pero un simple error de manejo de memoria puede dejarlos fuera de línea. Para las organizaciones que dependen de dispositivos Cisco ASA o FTD, esto significa posibles cortes de red iniciados por actores remotos. Dado que CISA exige un parcheo rápido para las agencias federales, las organizaciones del sector privado deberían tratar estos plazos como referencias de buenas prácticas para evitar exposiciones similares.

Qué puede hacer

• Parchee inmediatamente las instancias de GitLab para abordar CVE-2026-97229, priorizando los servidores expuestos a internet.
• Actualice el software de Cisco ASA y FTD a la última versión para mitigar CVE-2026-76418.
• Revise las configuraciones de las pipelines de CI/CD para restringir quién puede enviar o modificar expresiones regulares.
• Monitoree los registros del firewall para detectar picos inusuales de tráfico o reinicios inesperados que puedan indicar intentos de DoS.
• Verifique que los procedimientos de copia de seguridad y reconstrucción estén probados, ya que Alpine Linux tuvo que reconstruir su instancia desde cero.
• Compruebe si su organización está sujeta a directrices federales que requieren cumplimiento antes del 1 de noviembre de 2026.