GitLab RCE e Cisco firewall DoS oggetto di attacchi attivi
Una vulnerabilità GitLab RCE, abbreviazione di remote code execution, e una vulnerabilità denial-of-service di un firewall Cisco sono state aggiunte al catalogo Known Exploited Vulnerabilities (KEV) della Cybersecurity and Infrastructure Security Agency statunitense. Giovedì la CISA ha aggiunto le due vulnerabilità dopo aver trovato prove di sfruttamento attivo. L'agenzia ha raccomandato alle agenzie del ramo esecutivo civile federale di applicare le correzioni disponibili entro il 1° novembre 2026.
La vulnerabilità di GitLab, CVE-2026-97229, interessa GitLab Community Edition e Enterprise Edition e ha un punteggio Common Vulnerability Scoring System (CVSS) di 10,0 sulla scala di gravità da 10 punti. Si tratta di una vulnerabilità di integer overflow o wraparound, che si verifica quando un calcolo supera l'intervallo che il software può gestire correttamente. Un utente unauthenticated, cioè qualcuno che non ha effettuato l'accesso, potrebbe inviare una regular expression appositamente costruita tramite una configurazione continuous integration and continuous delivery (CI/CD). CI/CD è il processo automatizzato utilizzato per compilare, testare e pubblicare il software.
Secondo la descrizione della vulnerabilità, GitLab non convalida adeguatamente tale regular expression. Lo sfruttamento potrebbe consentire l'esecuzione di codice arbitrario sul server GitLab senza richiedere un account. Ciò rende il problema particolarmente importante per le organizzazioni che gestiscono proprie installazioni di GitLab, perché la piattaforma interessata può contenere codice sorgente e supportare processi automatizzati di pubblicazione del software.
La voce KEV relativa a CVE-2026-97229 è collegata a un incidente reso noto da Alpine Linux. Il 20 e 21 ottobre 2026, un threat actor non identificato ha preso di mira un'instance GitLab priva di patch appartenente alla distribuzione Linux orientata alla sicurezza. Il tentativo prevedeva l'invio all'instance di configurazioni CI appositamente create. I worker process di GitLab sono andati in crash otto volte e, in quattro di questi crash, il tentativo di exploit non è riuscito durante la fase successiva.
Il threat actor ha inoltre scaricato la container image GitLab di Alpine Linux. Ulteriori tentativi di riottenere l'accesso il 25 e 26 ottobre sono stati bloccati. Alpine Linux ha dichiarato di non aver trovato prove che l'exploit abbia infine funzionato, ma di non poter escludere tale possibilità. I maintainer hanno quindi gestito l'instance come se fosse stata compromessa e l'hanno ricostruita da zero.
I controlli di Alpine Linux non hanno rilevato manomissioni del repository aports, dei pacchetti o delle release datate 21 ottobre. L'incidente evidenzia comunque una distinzione importante per i proprietari di siti web e i team IT: un attacco fallito o incompleto non dimostra necessariamente che un sistema vulnerabile sia rimasto intatto. Quando le prove non consentono di stabilire se sia stato ottenuto l'accesso, la ricostruzione del sistema può eliminare l'incertezza che rimarrebbe se gli operatori si affidassero soltanto ai segni visibili dei danni.
La seconda vulnerabilità, CVE-2026-76418, interessa Cisco Secure Firewall Adaptive Security Appliance (ASA) Software e Secure Firewall Threat Defense (FTD) Software. Ha un punteggio CVSS di 8,6. Il problema riguarda un return value non controllato che può provocare una null pointer dereference, un errore del software causato quando un programma tenta di utilizzare un riferimento di memoria che non punta ad alcuna informazione valida.
Un attaccante remoto unauthenticated potrebbe sfruttare la vulnerabilità Cisco per provocare il riavvio imprevisto di un dispositivo interessato. Questa interruzione crea una condizione denial-of-service (DoS), cioè rende il dispositivo temporaneamente non disponibile e gli impedisce di fornire il normale servizio. Per un'azienda che dipende dalle apparecchiature interessate, un riavvio imprevisto può compromettere la disponibilità della rete, anche se questa vulnerabilità non viene descritta come capace di consentire l'esecuzione di codice arbitrario.
Cisco ha dichiarato all'inizio del mese di essere venuta a conoscenza di uno sfruttamento attivo. L'azienda non ha identificato pubblicamente gli attaccanti, comunicato quante organizzazioni siano state prese di mira né descritto cosa abbiano fatto gli attaccanti dopo aver ottenuto l'accesso iniziale. Queste incognite limitano le conclusioni che si possono trarre sulla portata e sugli obiettivi dell'attività, ma le prove dello sfruttamento sono sufficienti perché la CISA includa la vulnerabilità nel KEV.
Gli amministratori responsabili di GitLab Community Edition, GitLab Enterprise Edition, Cisco ASA Software o Cisco FTD Software dovrebbero verificare che siano state applicate le correzioni pertinenti, anziché presumere che i controlli perimetrali o l'assenza di interruzioni visibili significhino che i sistemi siano sicuri. Gli operatori GitLab dovrebbero inoltre considerare i crash inspiegabili dei worker durante l'elaborazione delle configurazioni CI come un motivo per indagare, mentre i clienti Cisco dovrebbero esaminare i riavvii inspiegabili dei dispositivi e le interruzioni del servizio. Per le organizzazioni che necessitano di assistenza nella gestione di questo tipo di esposizione, AEU-I offre servizi IT, infrastruttura e consulenza security-first.
I due casi hanno effetti immediati differenti: CVE-2026-97229 può portare all'esecuzione di codice su un server GitLab, mentre CVE-2026-76418 può forzare il riavvio di un dispositivo di sicurezza e interrompere il servizio. Entrambe possono essere raggiunte da remoto senza autenticazione, per entrambe esistono prove di sfruttamento e la scadenza della CISA del 1° novembre 2026 rende l'applicazione delle correzioni disponibili la priorità immediata.