GitLab RCE und Cisco firewall DoS werden aktiv ausgenutzt
Eine GitLab RCE, kurz für remote code execution, und eine denial-of-service-Schwachstelle in einer Cisco firewall wurden in den Known Exploited Vulnerabilities (KEV)-Katalog der US-amerikanischen Cybersecurity and Infrastructure Security Agency aufgenommen. CISA nahm die beiden Schwachstellen am Donnerstag auf, nachdem die Behörde Hinweise auf eine aktive Ausnutzung gefunden hatte. Sie empfahl den Behörden der Federal Civilian Executive Branch, die verfügbaren Korrekturen bis zum 1. November 2026 einzuspielen.
Die GitLab-Schwachstelle CVE-2026-97229 betrifft GitLab Community Edition und Enterprise Edition und hat im Common Vulnerability Scoring System (CVSS) einen Wert von 10,0 auf der zehnstufigen Schweregradskala. Es handelt sich um einen integer overflow oder wraparound, der auftritt, wenn eine Berechnung den Wertebereich überschreitet, den die Software korrekt verarbeiten kann. Ein unauthenticated Benutzer, also jemand, der nicht angemeldet ist, könnte über eine Konfiguration für continuous integration and continuous delivery (CI/CD) eine speziell präparierte regular expression senden. CI/CD ist der automatisierte Prozess zum Erstellen, Testen und Veröffentlichen von Software.
Laut der Beschreibung der Schwachstelle validiert GitLab diese regular expression nicht ausreichend. Eine Ausnutzung könnte arbitrary code execution auf dem GitLab-Server ermöglichen, ohne dass dafür ein Konto erforderlich wäre. Das macht das Problem besonders wichtig für Organisationen, die eigene GitLab-Installationen betreiben, weil die betroffene Plattform source code enthalten und automatisierte Prozesse zur Veröffentlichung von Software unterstützen kann.
Der KEV-Eintrag für CVE-2026-97229 steht mit einem von Alpine Linux offengelegten Vorfall in Verbindung. Ein nicht identifizierter threat actor nahm am 20. und 21. Oktober 2026 eine ungepatchte GitLab-Instanz der sicherheitsorientierten Linux-Distribution ins Visier. Bei dem Versuch wurden präparierte CI-Konfigurationen an die Instanz gesendet. GitLab-Worker-Prozesse stürzten achtmal ab; bei vier dieser Abstürze scheiterte der versuchte Exploit in seiner nächsten Phase.
Der threat actor lud außerdem das GitLab container image von Alpine Linux herunter. Weitere Versuche, am 25. und 26. Oktober erneut Zugang zu erlangen, wurden blockiert. Alpine Linux erklärte, keine Hinweise darauf gefunden zu haben, dass der Exploit letztlich erfolgreich war, konnte diese Möglichkeit jedoch nicht ausschließen. Die Verantwortlichen behandelten die Instanz daher so, als wäre sie kompromittiert worden, und bauten sie von Grund auf neu auf.
Die Prüfungen von Alpine Linux ergaben keine Manipulationen am aports-Repository oder an Paketen beziehungsweise Releases vom 21. Oktober. Der Vorfall verdeutlicht dennoch einen wichtigen Unterschied für Websitebetreiber und IT-Teams: Ein gescheiterter oder unvollständiger Angriff beweist nicht zwangsläufig, dass ein verwundbares System unberührt geblieben ist. Wenn sich anhand der Beweise nicht klären lässt, ob ein Zugriff stattgefunden hat, kann der Neuaufbau eines Systems Unsicherheiten beseitigen, die bestehen blieben, wenn sich die Betreiber nur auf sichtbare Anzeichen eines Schadens verließen.
Die zweite Schwachstelle, CVE-2026-76418, betrifft Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Secure Firewall Threat Defense (FTD) Software. Sie hat einen CVSS-Wert von 8,6. Das Problem besteht in einem ungeprüften return value, der zu einer null pointer dereference führen kann. Dabei handelt es sich um einen Softwarefehler, der entsteht, wenn ein Programm versucht, eine memory reference zu verwenden, die auf keine gültigen Informationen verweist.
Ein unauthenticated Remote-Angreifer könnte die Cisco-Schwachstelle ausnutzen, um ein betroffenes Gerät unerwartet neu laden zu lassen. Diese Unterbrechung erzeugt einen denial-of-service (DoS)-Zustand, bei dem das Gerät vorübergehend nicht verfügbar ist und seinen normalen Dienst nicht bereitstellen kann. Für ein Unternehmen, das auf die betroffenen Geräte angewiesen ist, kann ein unerwartetes Neuladen die Netzwerkverfügbarkeit beeinträchtigen, obwohl diese Schwachstelle nicht als Möglichkeit für arbitrary code execution beschrieben wird.
Cisco erklärte bereits zu Monatsbeginn, von einer aktiven Ausnutzung erfahren zu haben. Das Unternehmen hat weder die Angreifer öffentlich identifiziert noch offengelegt, wie viele Organisationen ins Visier genommen wurden oder was die Angreifer nach dem ersten Zugriff taten. Diese Unbekannten begrenzen die Schlussfolgerungen, die über Umfang und Ziele der Aktivitäten gezogen werden können. Die Hinweise auf eine Ausnutzung reichen jedoch aus, damit CISA die Schwachstelle in KEV aufnimmt.
Administratoren, die für GitLab Community Edition, GitLab Enterprise Edition, Cisco ASA Software oder Cisco FTD Software verantwortlich sind, sollten überprüfen, ob die relevanten Korrekturen installiert wurden. Sie sollten nicht davon ausgehen, dass Schutzmaßnahmen am Netzwerkperimeter oder das Fehlen sichtbarer Störungen bedeuten, dass die Systeme sicher sind. GitLab-Betreiber sollten außerdem unerklärliche Abstürze von Worker-Prozessen während der Verarbeitung von CI-Konfigurationen zum Anlass für eine Untersuchung nehmen. Cisco-Kunden sollten unerklärliche Neustarts von Geräten und Dienstunterbrechungen prüfen. Organisationen, die Unterstützung beim Umgang mit dieser Art von Gefährdung benötigen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen an.
Die beiden Fälle haben unterschiedliche unmittelbare Auswirkungen: CVE-2026-97229 kann zu code execution auf einem GitLab-Server führen, während CVE-2026-76418 den Neustart eines Sicherheitsgeräts erzwingen und dessen Dienst unterbrechen kann. Beide sind ohne authentication aus der Ferne erreichbar, für beide liegen Hinweise auf eine Ausnutzung vor, und wegen der von CISA gesetzten Frist am 1. November 2026 hat die Installation der verfügbaren Korrekturen höchste Priorität.