La CISA signale des exploits actifs dans les failles de GitLab et du pare-feu Cisco

L'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a ajouté deux vulnérabilités de haute sévérité affectant les logiciels GitLab et Cisco à son catalogue des vulnérabilités connues et exploitées (KEV). Cette mise à jour, publiée le jeudi 30 octobre 2026, cite des preuves confirmées que des acteurs malveillants exploitent activement ces failles dans la nature.

Ce qui s'est passé

La première vulnérabilité, identifiée sous CVE-2026-97229, affiche un score CVSS parfait de 10,0. Elle affecte à la fois les éditions communautaire (Community Edition) et entreprise (Enterprise Edition) de GitLab. La faille permet à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur en soumettant une expression régulière spécialement conçue au sein d'une configuration CI/CD. Ce problème découle d'une validation insuffisante des expressions régulières, entraînant une erreur de dépassement ou de bouclage entier.

La seconde entrée, CVE-2026-76418, impacte le logiciel Cisco Secure Firewall Adaptive Security Appliance (ASA) et le logiciel Secure Firewall Threat Defense (FTD). Avec un score CVSS de 8,6, cette vulnérabilité implique une valeur de retour non vérifiée qui conduit à une déréférencement de pointeur NULL. Un attaquant distant non authentifié peut déclencher ce bug pour provoquer un redémarrage inattendu de l'appareil, entraînant une condition de déni de service (DoS). Cisco a reconnu plus tôt ce mois-ci qu'il avait détecté une exploitation active de cette faille, bien qu'il n'ait pas identifié les attaquants ni l'étendue de la campagne.

L'inclusion de la faille GitLab fait suite à une divulgation publique par Alpine Linux. Les mainteneurs ont signalé qu'un acteur malveillant inconnu a tenté d'exploiter la vulnérabilité contre leur infrastructure les 20 et 21 octobre 2026. L'attaquant a envoyé des configurations CI élaborées qui ont provoqué le plantage des processus workers GitLab huit fois. Dans quatre cas, l'exploit a échoué à l'étape suivante. L'acteur a également téléchargé l'image conteneur GitLab depuis l'instance. Bien que les tentatives ultérieures des 25 et 26 octobre aient été bloquées, Alpine Linux a traité l'instance comme compromise et l'a reconstruite intégralement par précaution.

Comment cela fonctionne

La vulnérabilité GitLab exploite la manière dont l'application gère les expressions régulières dans les pipelines CI/CD. Les expressions régulières sont des motifs utilisés pour faire correspondre des combinaisons de caractères dans des chaînes de texte. Lorsque la validation est faible, un motif malveillamment complexe peut provoquer un dépassement entier. Cela se produit lorsqu'un calcul produit un nombre supérieur à la taille maximale autorisée pour le type de données, le faisant boucler vers une valeur négative ou petite. Dans ce cas, le dépassement contourne les contrôles de sécurité, permettant l'exécution de code sans authentification.

La faille Cisco est une erreur de gestion de la mémoire. Lorsque le logiciel ne vérifie pas si une fonction a renvoyé une valeur valide avant de l'utiliser, il peut tenter d'accéder à un pointeur NULL. Un pointeur NULL représente aucune adresse mémoire valide. Son déréférencement provoque le plantage du programme ou, dans les systèmes embarqués comme les pare-feux, déclenche un redémarrage. Comme cela peut être déclenché à distance sans identifiants, cela constitue un vecteur efficace de déni de service.

Détails clés

• CVE-2026-97229 : Exécution de code à distance critique dans GitLab CE et EE via un dépassement regex CI/CD.
• CVE-2026-76418 : DoS de haute sévérité dans les logiciels Cisco ASA et FTD via un déréférencement de pointeur NULL.
• Exploitation active : Les deux failles font l'objet d'une exploitation active confirmée dans la nature fin octobre 2026.
• Incident Alpine Linux : Les attaquants ont fait planter les workers GitLab huit fois et téléchargé des images conteneurs, mais n'ont probablement pas pris le contrôle total.
• Échéance fédérale : Les agences du Federal Civilian Executive Branch doivent appliquer les correctifs avant le 1er novembre 2026.
• Statut Cisco : Exploitation active confirmée, mais l'identité des attaquants et les actions post-exploitation restent inconnues.

Pourquoi c'est important

Pour les équipes DevOps et d'infrastructure, ces ajouts au catalogue KEV signalent un risque immédiat. La faille GitLab est particulièrement dangereuse car elle ne nécessite aucune authentification. Si vos pipelines CI/CD acceptent des contributions externes ou si votre instance GitLab est exposée sur Internet, les attaquants peuvent la cibler directement. Le fait qu'Alpine Linux ait observé plusieurs tentatives de plantage suggère que des outils automatisés de scan et d'exploitation circulent déjà.

La vulnérabilité Cisco met en évidence la fragilité des défenses périmétriques. Les pare-feux sont censés protéger les réseaux, mais une simple erreur de gestion de la mémoire peut les mettre hors ligne. Pour les organisations dépendant des appareils Cisco ASA ou FTD, cela signifie des pannes réseau potentielles initiées par des acteurs distants. Puisque la CISA impose un patching rapide aux agences fédérales, les organisations du secteur privé devraient considérer ces échéances comme des références de bonnes pratiques pour éviter une exposition similaire.

Ce que vous pouvez faire

• Patchez immédiatement les instances GitLab pour corriger CVE-2026-97229, en priorisant les serveurs exposés sur Internet.
• Mettez à jour les logiciels Cisco ASA et FTD vers la dernière version pour atténuer CVE-2026-76418.
• Revoyez les configurations des pipelines CI/CD pour restreindre qui peut soumettre ou modifier des expressions régulières.
• Surveillez les journaux du pare-feu pour détecter des pics de trafic inhabituels ou des redémarrages inattendus pouvant indiquer des tentatives de DoS.
• Vérifiez que les procédures de sauvegarde et de reconstruction sont testées, car Alpine Linux a dû reconstruire son instance intégralement.
• Vérifiez si votre organisation relève des directives fédérales exigeant la conformité avant le 1er novembre 2026.