Wprowadzenie do problemu / definicja
Amerykańska agencja CISA rozszerzyła katalog Known Exploited Vulnerabilities (KEV) o dwie istotne podatności: krytyczną lukę zdalnego wykonania kodu w GitLab oraz błąd odmowy usługi w rozwiązaniach Cisco Secure Firewall. Umieszczenie podatności w katalogu KEV oznacza, iż istnieją wiarygodne dowody ich aktywnego wykorzystywania, dlatego organizacje powinny nadać im najwyższy priorytet w procesie zarządzania łatkami.
W skrócie
Do katalogu KEV trafiły dwie podatności: CVE-2026-97229 w GitLab Community Edition i Enterprise Edition oraz CVE-2026-76418 w Cisco Secure Firewall ASA i FTD. Pierwsza z nich może prowadzić do nieautoryzowanego zdalnego wykonania kodu poprzez odpowiednio spreparowaną konfigurację CI/CD, natomiast druga umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wywołanie restartu urządzenia i zakłócenie działania usługi.
- CVE-2026-97229: krytyczna luka RCE w GitLab
- CVE-2026-76418: podatność DoS w Cisco ASA i FTD
- Obie luki zostały potwierdzone jako aktywnie wykorzystywane
- Systemy DevOps i urządzenia brzegowe wymagają pilnej weryfikacji
Kontekst / historia
Katalog KEV pełni dziś istotną funkcję operacyjną, ponieważ pomaga zespołom bezpieczeństwa oddzielić podatności teoretyczne od tych, które są już używane w rzeczywistych atakach. Dodanie nowych wpisów dotyczących GitLab i Cisco potwierdza rosnące zainteresowanie cyberprzestępców zarówno platformami wspierającymi proces wytwarzania oprogramowania, jak i infrastrukturą dostępową chroniącą zdalne połączenia.
W przypadku GitLab sprawa nabrała rozgłosu po incydencie opisanym przez Alpine Linux. Utrzymywana przez projekt instancja GitLab, działająca bez odpowiedniej poprawki, była celem prób eksploatacji w dniach 20 i 21 października 2026 roku. Atakujący wykorzystywał spreparowane konfiguracje CI, co prowadziło do awarii procesów roboczych. Choć nie potwierdzono pełnego przejęcia środowiska, ryzyko oceniono jako na tyle wysokie, iż zdecydowano się na odbudowę instancji.
W przypadku Cisco producent poinformował o wiedzy na temat aktywnego wykorzystywania podatności CVE-2026-76418 w październiku 2026 roku. Problem dotyczy wybranych wersji ASA i FTD, zwłaszcza tam, gdzie używana jest usługa zdalnego dostępu SSL VPN.
Analiza techniczna
CVE-2026-97229 w GitLab została oceniona na 10.0 w skali CVSS, co wskazuje na maksymalny poziom krytyczności. Podatność wynika z błędnej walidacji wyrażeń regularnych używanych podczas przetwarzania konfiguracji CI/CD. W praktyce chodzi o błąd typu integer overflow lub wraparound, który w odpowiednich warunkach może doprowadzić do wykonania dowolnego kodu na serwerze GitLab.
Szczególnie niebezpieczny jest fakt, iż luka może być wykorzystana bez uwierzytelnienia. Oznacza to niski próg wejścia dla atakującego i wysokie ryzyko dla publicznie dostępnych instancji. Ponieważ powierzchnia ataku obejmuje mechanizmy parsowania i oceny definicji pipeline’ów, zagrożone są nie tylko same serwery GitLab, ale również sekrety, tokeny, repozytoria i infrastruktura runnerów powiązana z procesem CI/CD.
CVE-2026-76418 w Cisco Secure Firewall ASA i FTD ma inny charakter, ale również jest istotna z perspektywy operacyjnej. Błąd wynika z problemów logicznych przy obsłudze dodatkowego uwierzytelniania w grupie tunelu dla usługi Remote Access SSL VPN. W efekcie nieuwierzytelniony atakujący może zdalnie doprowadzić do nieoczekiwanego restartu urządzenia, powodując odmowę usługi.
Choć podatność Cisco nie daje bezpośrednio możliwości wykonania kodu, wpływa na dostępność usług bezpieczeństwa i zdalnego dostępu. W środowiskach, gdzie VPN stanowi najważniejszy element pracy operacyjnej, choćby krótkie restarty zapór mogą przełożyć się na realne zakłócenia biznesowe.
Konsekwencje / ryzyko
Najpoważniejsze konsekwencje wiążą się z podatnością GitLab. Przejęcie serwera tej klasy może umożliwić dostęp do kodu źródłowego, sekretów CI/CD, tokenów runnerów, kluczy wdrożeniowych, artefaktów buildów oraz mechanizmów automatycznego wdrażania. W praktyce oznacza to ryzyko naruszenia integralności całego procesu wytwarzania systemu i możliwość przeprowadzenia ataku na łańcuch dostaw.
W nowoczesnych środowiskach DevOps GitLab bywa centralnym punktem zarządzania zmianą, testami, publikacją obrazów kontenerowych i wdrożeniami produkcyjnymi. Z tego powodu pojedyncza luka RCE może stać się furtką do dalszego ruchu bocznego i eskalacji uprawnień w całej organizacji.
Z kolei podatność Cisco dotyka przede wszystkim obszaru dostępności. Atak na urządzenia odpowiedzialne za SSL VPN może prowadzić do przerw w pracy użytkowników zdalnych, destabilizacji dostępu administracyjnego oraz wzrostu obciążenia zespołów SOC i NOC. W firmach silnie opartych na pracy hybrydowej konsekwencje operacyjne takich incydentów mogą być odczuwalne niemal natychmiast.
Rekomendacje
Organizacje korzystające z GitLab powinny jak najszybciej zinwentaryzować wszystkie instancje Community Edition i Enterprise Edition oraz sprawdzić, czy wdrożono poprawki bezpieczeństwa opublikowane w październiku 2026 roku. o ile aktualizacja nie może zostać przeprowadzona od razu, warto ograniczyć powierzchnię ataku poprzez zaostrzenie kontroli dostępu do funkcji CI/CD, monitorowanie nietypowych definicji pipeline’ów oraz analizę awarii procesów workerów.
W przypadku podejrzenia prób eksploatacji należy przejrzeć logi związane z pipeline’ami, runnerami, kontenerami GitLab i aktywnością użytkowników. Konieczna może być również weryfikacja integralności repozytoriów, sekretów, artefaktów oraz obrazów kontenerowych. o ile nie da się wykluczyć wykonania kodu, zasadne jest przyjęcie scenariusza potencjalnej kompromitacji i odbudowa krytycznych komponentów.
Administratorzy Cisco Secure Firewall ASA i FTD powinni niezwłocznie wdrożyć poprawione wersje systemu wskazane przez producenta. Warto też przeanalizować konfiguracje Remote Access SSL VPN, szczególnie te wykorzystujące dodatkowe mechanizmy uwierzytelniania, oraz monitorować objawy takie jak nieoczekiwane restarty, flapping usług czy anomalie w sesjach VPN.
- Priorytetyzować podatności obecne w katalogu KEV ponad sam scoring CVSS
- Skrócić czas wdrażania poprawek dla platform CI/CD i systemów brzegowych
- Wdrożyć dodatkowe reguły detekcji dla GitLab, VPN i firewalli
- Przeglądać tokeny, sekrety i poświadczenia po incydentach dotyczących narzędzi DevOps
- Stosować segmentację administracyjną i zasadę najmniejszych uprawnień
Podsumowanie
Dodanie CVE-2026-97229 i CVE-2026-76418 do katalogu KEV pokazuje, iż atakujący konsekwentnie wykorzystują zarówno luki w platformach DevSecOps, jak i podatności w urządzeniach odpowiadających za bezpieczny dostęp zdalny. Szczególnie groźna pozostaje luka GitLab, ponieważ łączy krytyczny wpływ, możliwość wykorzystania bez uwierzytelnienia oraz dostęp do zasobów o wysokiej wartości operacyjnej.
Przypadek Cisco przypomina z kolei, iż choćby podatności prowadzące „jedynie” do odmowy usługi mogą mieć poważne skutki biznesowe. W obu scenariuszach najważniejsze znaczenie ma szybkie wdrożenie poprawek, ograniczenie ekspozycji i traktowanie wszelkich oznak eksploatacji jako incydentów o podwyższonym znaczeniu.
Źródła
- CISA Known Exploited Vulnerabilities Catalog
- CISA Adds Actively Exploited GitLab RCE and Cisco Firewall DoS Flaws to KEV
- GitLab security incident: attempted exploitation of CVE-2026-97229 | Alpine Linux
- Cisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability
- GitLab Critical Patch Release
