CISA cảnh báo các lỗ hổng đang bị khai thác trong GitLab và tường lửa Cisco

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm hai lỗ hổng bảo mật mức độ nghiêm trọng cao ảnh hưởng đến phần mềm GitLab và Cisco vào danh mục Các lỗ hổng đã biết bị khai thác (KEV). Bản cập nhật này, được phát hành vào thứ Năm, ngày 30 tháng 10 năm 2026, dẫn chứng bằng xác nhận rằng các nhóm đe dọa đang tích cực khai thác những lỗ hổng này ngoài thực tế.

Chuyện gì đã xảy ra

Lỗ hổng đầu tiên, được theo dõi với mã CVE-2026-97229, có điểm CVSS hoàn hảo là 10.0. Nó ảnh hưởng đến cả phiên bản GitLab Community Edition và Enterprise Edition. Lỗi này cho phép người dùng không cần xác thực thực thi mã tùy ý trên máy chủ bằng cách gửi một biểu thức chính quy (regular expression) được thiết kế đặc biệt trong cấu hình CI/CD. Vấn đề này bắt nguồn từ việc kiểm tra biểu thức chính quy không đầy đủ, dẫn đến lỗi tràn số nguyên hoặc lỗi wraparound.

Mục thứ hai, CVE-2026-76418, ảnh hưởng đến Phần mềm Cisco Secure Firewall Adaptive Security Appliance (ASA) và Phần mềm Secure Firewall Threat Defense (FTD). Với điểm CVSS là 8.6, lỗ hổng này liên quan đến giá trị trả về không được kiểm tra, dẫn đến lỗi tham chiếu con trỏ NULL. Một kẻ tấn công từ xa không cần xác thực có thể kích hoạt lỗi này để khiến thiết bị khởi động lại bất ngờ, gây ra tình trạng từ chối dịch vụ (DoS). Cisco đã thừa nhận vào đầu tháng này rằng họ phát hiện thấy sự khai thác chủ động của lỗ hổng này, mặc dù chưa xác định được danh tính kẻ tấn công hay phạm vi của chiến dịch.

Việc đưa lỗ hổng GitLab vào danh sách diễn ra sau thông báo công khai từ Alpine Linux. Những người bảo trì báo cáo rằng một nhóm đe dọa chưa xác định đã cố gắng khai thác lỗ hổng chống lại cơ sở hạ tầng của họ vào ngày 20 và 21 tháng 10 năm 2026. Kẻ tấn công đã gửi các cấu hình CI được thiết kế đặc biệt khiến các tiến trình làm việc (worker processes) của GitLab bị sập tám lần. Trong bốn trường hợp, cuộc khai thác thất bại ở bước tiếp theo. Nhóm đe dọa cũng tải xuống hình ảnh container GitLab từ instance đó. Mặc dù các nỗ lực sau đó vào ngày 25 và 26 tháng 10 đã bị chặn, Alpine Linux vẫn coi instance này là bị xâm nhập và xây dựng lại nó từ đầu như một biện pháp phòng ngừa.

Cách thức hoạt động

Lỗ hổng GitLab khai thác cách ứng dụng xử lý biểu thức chính quy trong các pipeline CI/CD. Biểu thức chính quy là các mẫu được sử dụng để khớp các tổ hợp ký tự trong chuỗi. Khi việc kiểm tra yếu, một mẫu phức tạp độc hại có thể gây ra lỗi tràn số nguyên. Điều này xảy ra khi một phép tính tạo ra một số lớn hơn kích thước tối đa cho phép của kiểu dữ liệu, khiến nó wrap around sang một giá trị âm hoặc nhỏ. Trong trường hợp này, lỗi tràn vượt qua các kiểm tra bảo mật, cho phép thực thi mã mà không cần xác thực.

Lỗi Cisco là một sai sót trong quản lý bộ nhớ. Khi phần mềm không kiểm tra xem một hàm có trả về giá trị hợp lệ trước khi sử dụng hay không, nó có thể cố gắng truy cập vào một con trỏ NULL. Con trỏ NULL đại diện cho không có địa chỉ bộ nhớ hợp lệ. Việc tham chiếu nó khiến chương trình bị sập hoặc, trong các hệ thống nhúng như tường lửa, kích hoạt quá trình khởi động lại. Vì điều này có thể được kích hoạt từ xa mà không cần thông tin đăng nhập, nó đóng vai trò là một vector từ chối dịch vụ hiệu quả.

Chi tiết chính

• CVE-2026-97229: Thực thi mã từ xa mức độ nghiêm trọng trong GitLab CE và EE thông qua lỗi tràn regex trong CI/CD.
• CVE-2026-76418: Từ chối dịch vụ (DoS) mức độ nghiêm trọng cao trong phần mềm Cisco ASA và FTD thông qua lỗi tham chiếu con trỏ NULL.
• Khai thác chủ động: Cả hai lỗ hổng đều có xác nhận về việc khai thác chủ động ngoài thực tế vào cuối tháng 10 năm 2026.
• Sự cố Alpine Linux: Kẻ tấn công đã làm sập các worker GitLab tám lần và tải xuống hình ảnh container nhưng có khả năng không giành được toàn quyền kiểm soát.
• Thời hạn liên bang: Các cơ quan thuộc Nhánh Hành pháp Dân sự Liên bang phải áp dụng các bản vá lỗi trước ngày 1 tháng 11 năm 2026.
• Tình trạng Cisco: Khai thác chủ động đã được xác nhận, nhưng danh tính kẻ tấn công và các hành động sau khai thác vẫn chưa rõ ràng.

Tại sao điều này quan trọng

Đối với các đội ngũ DevOps và cơ sở hạ tầng, những bổ sung này vào danh mục KEV báo hiệu rủi ro tức thì. Lỗ hổng GitLab đặc biệt nguy hiểm vì nó không yêu cầu xác thực. Nếu các pipeline CI/CD của bạn chấp nhận đóng góp từ bên ngoài hoặc nếu instance GitLab của bạn kết nối trực tiếp với internet, kẻ tấn công có thể nhắm mục tiêu trực tiếp vào nó. Việc Alpine Linux chứng kiến nhiều nỗ lực làm sập hệ thống cho thấy các công cụ quét và khai thác tự động đã lưu hành.

Lỗ hổng Cisco nhấn mạnh sự mong manh của các biện pháp phòng thủ biên giới. Tường lửa được thiết kế để bảo vệ mạng, nhưng một lỗi xử lý bộ nhớ đơn giản có thể khiến chúng ngừng hoạt động. Đối với các tổ chức phụ thuộc vào thiết bị Cisco ASA hoặc FTD, điều này có nghĩa là nguy cơ mất điện mạng do các tác nhân từ xa khởi xướng. Vì CISA yêu cầu các cơ quan liên bang vá lỗi nhanh chóng, các tổ chức khu vực tư nhân nên coi những thời hạn này là chuẩn mực thực hành tốt nhất để tránh các rủi ro tương tự.

Bạn có thể làm gì

• Vá lỗi các instance GitLab ngay lập tức để giải quyết CVE-2026-97229, ưu tiên các máy chủ kết nối internet.
• Cập nhật phần mềm Cisco ASA và FTD lên phiên bản mới nhất để giảm thiểu CVE-2026-76418.
• Xem xét cấu hình pipeline CI/CD để hạn chế ai có thể gửi hoặc sửa đổi biểu thức chính quy.
• Giám sát nhật ký tường lửa để tìm kiếm các đột biến lưu lượng bất thường hoặc các lần khởi động lại không mong muốn có thể chỉ ra nỗ lực DoS.
• Xác minh rằng các quy trình sao lưu và xây dựng lại đã được thử nghiệm, vì Alpine Linux đã phải tái tạo instance của mình từ đầu.
• Kiểm tra xem tổ chức của bạn có thuộc các hướng dẫn liên bang yêu cầu tuân thủ trước ngày 1 tháng 11 năm 2026 hay không.