La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) añadió dos vulnerabilidades a su catálogo KEV. Este catálogo reúne las vulnerabilidades con explotación confirmada en ataques reales. Las fallas afectan a servidores GitLab y a firewalls Cisco, dos piezas presentes en muchas empresas de la región.
La más grave es la CVE-2026-97229 (CVSS 10.0), que afecta a GitLab Community Edition y Enterprise Edition. Se trata de un desbordamiento de entero: un cálculo numérico que supera su límite y produce un valor inesperado. Un atacante sin credenciales puede ejecutar código arbitrario en el servidor. Para lograrlo, envía una expresión regular manipulada dentro de una configuración de CI/CD, el sistema que automatiza la compilación y el despliegue de software. El origen es una validación insuficiente de esas expresiones regulares.
La inclusión en el catálogo se relaciona con un incidente que reveló Alpine Linux. Los días 20 y 21 de octubre de 2026, un actor desconocido envió configuraciones de CI manipuladas a su instancia de GitLab, que no tenía el parche. Los procesos de GitLab fallaron ocho veces y, en cuatro de esos fallos, el ataque se detuvo en el paso siguiente. El atacante también descargó la imagen de contenedor de GitLab del proyecto. Sus nuevos intentos de acceso, los días 25 y 26 de octubre, fueron bloqueados. Alpine no halló evidencia de una intrusión exitosa, pero no pudo descartarla. Por eso trató la instancia como comprometida y la reconstruyó desde cero. Según sus verificaciones, el repositorio aports, los paquetes y las versiones del 21 de octubre no fueron alterados.
La segunda falla es la CVE-2026-76418 (CVSS 8.6), presente en Cisco Secure Firewall Adaptive Security Appliance (ASA) Software y Secure Firewall Threat Defense (FTD) Software. El software no verifica un valor de retorno y termina usando un puntero nulo, es decir, una referencia a memoria inexistente. Un atacante remoto sin autenticación puede forzar el reinicio inesperado del equipo y provocar una denegación de servicio. Cisco confirmó la explotación activa a comienzos de octubre. No ha identificado a los atacantes, el número de organizaciones afectadas ni las acciones posteriores al acceso inicial.
CISA fijó el 1 de noviembre de 2026 como plazo para que las agencias civiles federales de Estados Unidos apliquen las correcciones. Ese plazo es una buena referencia para cualquier empresa. Las acciones prioritarias son tres. Primero, actualizar GitLab con el parche publicado por el fabricante, sobre todo si la instancia está expuesta a internet. Segundo, aplicar las versiones corregidas que Cisco indica en su aviso para ASA y FTD. Tercero, revisar los registros de GitLab en busca de caídas repetidas de procesos o de configuraciones de CI inusuales. Si hay indicios de explotación, conviene seguir el ejemplo de Alpine: tratar el servidor como comprometido y reconstruirlo.
Qué significa para tu empresa: El caso de Alpine muestra que las caídas repetidas de un servicio pueden ser la única señal de un intento de intrusión. Esta semana, confirma la versión de tus servidores GitLab y de tus firewalls perimetrales, y verifica quién revisa sus alertas fuera del horario laboral. Un servicio de monitoreo 24/7 permite correlacionar esos fallos con tráfico sospechoso y actuar antes de que el atacante logre el siguiente paso.
Fuente original: The Hacker News — ver artículo →