GitLab RCE dhe Cisco firewall DoS nën sulm aktiv
Një GitLab RCE, shkurtim për remote code execution, dhe një dobësi denial-of-service në Cisco firewall janë shtuar në katalogun Known Exploited Vulnerabilities (KEV) të Agjencisë Amerikane për Sigurinë Kibernetike dhe Sigurinë e Infrastrukturës. CISA i shtoi të enjten dy dobësitë pasi gjeti prova të shfrytëzimit aktiv. Agjencia rekomandoi që agjencitë civile federale të degës ekzekutive t’i instalojnë rregullimet e disponueshme deri më 1 nëntor 2026.
Dobësia e GitLab, CVE-2026-97229, prek GitLab Community Edition dhe Enterprise Edition dhe ka një rezultat prej 10.0 në Common Vulnerability Scoring System (CVSS), në shkallën e rrezikshmërisë me 10 pikë. Ajo është një dobësi integer overflow ose wraparound, që ndodh kur një përllogaritje tejkalon intervalin që software mund të përpunojë saktë. Një përdorues unauthenticated, pra dikush që nuk ka hyrë në llogari, mund të dërgojë një regular expression të ndërtuar posaçërisht përmes një konfigurimi continuous integration dhe continuous delivery (CI/CD). CI/CD është procesi i automatizuar që përdoret për ndërtimin, testimin dhe publikimin e software-it.
Sipas përshkrimit të dobësisë, GitLab nuk e verifikon mjaftueshëm atë regular expression. Shfrytëzimi mund të lejojë ekzekutimin e arbitrary code në GitLab server pa kërkuar një llogari. Kjo e bën problemin veçanërisht të rëndësishëm për organizatat që administrojnë instalimet e tyre GitLab, sepse platforma e prekur mund të përmbajë source code dhe të mbështesë procese të automatizuara të software release.
Hyrja në KEV për CVE-2026-97229 lidhet me një incident të bërë publik nga Alpine Linux. Më 20 dhe 21 tetor 2026, një threat actor i paidentifikuar shënjestroi një GitLab instance të Alpine Linux që nuk kishte marrë patch. Përpjekja përfshinte dërgimin e CI configurations të ndërtuara posaçërisht te instance. GitLab worker processes pësuan crash tetë herë dhe, në katër prej këtyre rasteve, exploit i tentuar dështoi gjatë fazës së tij pasuese.
Threat actor shkarkoi gjithashtu GitLab container image të Alpine Linux. Përpjekjet e mëtejshme për të rifituar akses më 25 dhe 26 tetor u bllokuan. Alpine Linux tha se nuk gjeti prova që exploit kishte funksionuar përfundimisht, por nuk mund ta përjashtonte këtë mundësi. Për këtë arsye, mirëmbajtësit e trajtuan instance sikur të ishte komprometuar dhe e rindërtuan atë nga fillimi.
Kontrollet e Alpine Linux nuk gjetën manipulime në aports repository, packages ose releases të saj të datës 21 tetor. Megjithatë, incidenti ilustron një dallim të rëndësishëm për pronarët e website-ve dhe ekipet IT: një sulm i dështuar ose i paplotë nuk provon domosdoshmërisht se një sistem i cenueshëm ka mbetur i paprekur. Kur provat nuk mund të përcaktojnë nëse është siguruar akses, rindërtimi i sistemit mund të heqë pasigurinë që do të mbetej nëse administratorët do të mbështeteshin vetëm te shenjat e dukshme të dëmtimit.
Dobësia e dytë, CVE-2026-76418, prek Cisco Secure Firewall Adaptive Security Appliance (ASA) Software dhe Secure Firewall Threat Defense (FTD) Software. Ajo ka një rezultat CVSS prej 8.6. Problemi përfshin një unchecked return value që mund të çojë në null pointer dereference, një dështim të software-it që shkaktohet kur një program përpiqet të përdorë një memory reference që nuk tregon drejt asnjë informacioni të vlefshëm.
Një sulmues i largët unauthenticated mund ta shfrytëzojë dobësinë e Cisco për ta bërë një pajisje të prekur të kryejë reload në mënyrë të papritur. Kjo ndërprerje krijon një gjendje denial-of-service (DoS), që do të thotë se pajisja bëhet përkohësisht e padisponueshme dhe nuk mund të ofrojë shërbimin e saj normal. Për një biznes që mbështetet te pajisjet e prekura, një reload i papritur mund të ndërpresë disponueshmërinë e rrjetit, megjithëse kjo dobësi nuk përshkruhet si lejuese e arbitrary code execution.
Cisco tha më herët gjatë muajit se ishte vënë në dijeni për shfrytëzim aktiv. Kompania nuk i ka identifikuar publikisht sulmuesit, nuk ka treguar sa organizata u shënjestruan dhe as nuk ka përshkruar çfarë bënë sulmuesit pasi siguruan initial access. Këto të panjohura kufizojnë përfundimet që mund të nxirren rreth shtrirjes dhe objektivave të aktivitetit, por provat e shfrytëzimit janë të mjaftueshme që CISA ta përfshijë dobësinë në KEV.
Administratorët përgjegjës për GitLab Community Edition, GitLab Enterprise Edition, Cisco ASA Software ose Cisco FTD Software duhet të verifikojnë se janë instaluar rregullimet përkatëse, në vend që të supozojnë se perimeter controls ose mungesa e ndërprerjeve të dukshme nënkuptojnë që sistemet janë të sigurta. Administratorët e GitLab duhet t’i trajtojnë gjithashtu crashes të pashpjeguara të worker processes gjatë përpunimit të CI configurations si arsye për të hetuar, ndërsa klientët e Cisco duhet të shqyrtojnë reloads të pashpjeguara të pajisjeve dhe ndërprerjet e shërbimit. Për organizatat që kanë nevojë për ndihmë në menaxhimin e këtij lloji ekspozimi, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë në plan të parë.
Të dyja rastet kanë pasoja të menjëhershme të ndryshme: CVE-2026-97229 mund të çojë në ekzekutimin e code në një GitLab server, ndërsa CVE-2026-76418 mund ta detyrojë një pajisje sigurie të riniset dhe të ndërpresë shërbimin. Të dyja mund të arrihen nga larg pa authentication, për të dyja ka prova shfrytëzimi dhe afati i CISA, 1 nëntor 2026, e bën instalimin e rregullimeve të disponueshme përparësinë e menjëhershme.