Am 29. Oktober 2026 hat die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) zwei Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen – eine kritische Remote Code Execution in GitLab CE/EE (CVE-2026-97229, CVSS 10.0) und eine DoS-Schwachstelle in Cisco Secure Firewall (CVE-2026-76418, CVSS 8.6). Beide Schwachstellen werden in realen Angriffen ausgenutzt. Organisationen, die GitLab in den Versionen 19.2–19.4 oder Cisco ASA/FTD mit aktivierter sekundärer Authentifizierung auf Tunnel-Gruppen einsetzen, müssen umgehend Updates einspielen. Für US-Bundesbehörden ist die Frist zur Behebung auf den 1. November 2026 festgelegt.
CVE-2026-97229: Remote Code Execution in GitLab ohne Authentifizierung
Laut CVE-Eintrag gehört die Schwachstelle CVE-2026-97229 zur Klasse CWE-190 (Integer Overflow) und hat die Maximalbewertung CVSS 10.0 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H erhalten. Das bedeutet: Netzwerkangriffsvektor, geringe Komplexität, keine notwendige Authentifizierung oder Benutzerinteraktion, vollständige Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit mit Überschreitung des Kontexts der verwundbaren Komponente.
Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, beliebigen Code auf dem GitLab-Server auszuführen, indem er ein speziell präpariertes reguläres Ausdrucksmuster in der CI/CD-Konfiguration sendet. Ursache ist eine unzureichende Validierung regulärer Ausdrücke, die zu einem Integer Overflow führt.
Betroffene Versionen von GitLab Community Edition und Enterprise Edition:
- 19.2 bis 19.2.8 (exklusive)
- 19.3 bis 19.3.5 (exklusive)
- 19.4 bis 19.4.2 (exklusive)
Wir haben diese Schwachstelle bereits zuvor ausführlich in einem eigenen Beitrag analysiert. Die Aufnahme in den KEV-Katalog bestätigt nun: Die Bedrohung ist von einem theoretischen zu einem praktischen Problem geworden.
Dem zugrunde liegenden Material zufolge war ein Vorfall, über den das Alpine-Linux-Projekt berichtet hat, der Anlass für die Aufnahme in den KEV. Den vorliegenden Informationen nach hat ein unbekannter Angreifer am 20. und 21. Oktober 2026 versucht, die Schwachstelle gegen eine ungepatchte GitLab-Instanz auszunutzen, indem er speziell präparierte CI/CD-Konfigurationen einsandte. Die GitLab-Workflows stürzten dabei achtmal ab; in vier Fällen schlug der Exploit in der nächsten Phase fehl. Der Angreifer lud außerdem ein Container-Image von Alpine Linux GitLab hoch. Wiederholte Zugriffsversuche am 25. und 26. Oktober wurden blockiert. Die Maintainer von Alpine Linux erklärten, der Angriff sei „nahe am Erfolg“ gewesen, sie hätten jedoch keine Belege für eine erfolgreiche Kompromittierung gefunden. Die Instanz wurde dennoch als kompromittiert eingestuft und vollständig neu aufgebaut. Überprüfungen ergaben, dass das aports-Repository, die Pakete und die Releases vom 21. Oktober nicht verändert worden waren. Es ist zu beachten, dass diese Informationen aus einer Nachrichtenquelle und nicht direkt von Alpine Linux stammen, sodass die Details des Vorfalls mit Vorsicht zu betrachten sind.
CVE-2026-76418: Denial-of-Service in Cisco Secure Firewall
Die zweite Schwachstelle – CVE-2026-76418 – betrifft Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Cisco Secure Firewall Threat Defense (FTD) Software. Laut einem Sicherheitshinweis von Cisco ist die Schwachstelle als CWE-690 (nicht geprüftes Rückgabewert-Ergebnis, das zu einer Nullpointer-Dereferenzierung führt) klassifiziert und mit CVSS 8.6 bewertet.
Das Problem steht im Zusammenhang mit logischen Fehlern bei der Verarbeitung von Anfragen, wenn auf der Tunnel-Gruppe im Dienst Remote Access SSL VPN eine sekundäre Authentifizierung konfiguriert ist. Ein nicht authentifizierter entfernter Angreifer kann einen unerwarteten Neustart des Geräts auslösen, was zu einem Denial-of-Service führt. Kritischer Punkt: Nach Angaben von Cisco ist kein erfolgreicher VPN-Login erforderlich, um den verwundbaren Verarbeitungspfad zu erreichen. Dies erweitert die Angriffsoberfläche erheblich – jede Person, die Anfragen an die SSL-VPN-Schnittstelle senden kann, ist potenziell in der Lage, einen Neustart des Geräts auszulösen.
Cisco PSIRT berichtet, dass im Oktober 2026 eine aktive Ausnutzung dieser Schwachstelle bekannt wurde. Weder die Angreifer selbst noch die Zahl der angegriffenen Organisationen oder deren Aktionen nach Erlangen des ersten Zugangs wurden öffentlich identifiziert.
Priorisierung der Behebung
Obwohl der CVSS-Score der Cisco-Schwachstelle (8.6) unter dem von GitLab (10.0) liegt, müssen beide Probleme mit gleicher Priorität behoben werden. Im Fall von Cisco machen mehrere Faktoren die Situation besonders kritisch: bestätigte aktive Ausnutzung, keine notwendige Authentifizierung zum Erreichen des verwundbaren Codes sowie das Fehlen eines vollwertigen Workarounds. Cisco nennt als einzige Maßnahme zur Risikominderung das Deaktivieren der sekundären Authentifizierung auf den betroffenen Tunnel-Gruppen oder auf der Standardgruppe DefaultWEBVPNGroup. Dies kann jedoch die Sicherheitsrichtlinien der Organisation beeinträchtigen, weshalb das Update auf eine fehlerbereinigte Softwareversion die bevorzugte Option bleibt.
Für Organisationen, die bereits früher mit Schwachstellen in Cisco-Produkten konfrontiert waren, sei darauf hingewiesen, dass wir bereits kritische Schwachstellen in Cisco ISE und Cisco SD-WAN Manager beleuchtet haben, was die Notwendigkeit eines systematischen Vulnerability-Management-Ansatzes in Cisco-Infrastrukturen unterstreicht.
Empfehlungen
Für GitLab CE/EE:
- Update auf die Versionen 19.2.8, 19.3.5 bzw. 19.4.2 durchführen
- CI/CD-Logs auf ungewöhnliche Konfigurationen mit atypischen regulären Ausdrücken prüfen
- Den Netzwerkzugriff auf GitLab-Instanzen bis zum Abschluss des Updates einschränken
Für Cisco ASA/FTD:
- Software-Update auf eine fehlerbereinigte Version gemäß dem Sicherheitshinweis von Cisco installieren
- Falls ein sofortiges Update nicht möglich ist – Deaktivierung der sekundären Authentifizierung auf den betroffenen Tunnel-Gruppen als temporäre Maßnahme in Betracht ziehen
- Prüfen, ob die sekundäre Authentifizierung auf benutzerdefinierten oder Standard-Tunnel-Gruppen (DefaultWEBVPNGroup) konfiguriert ist
- Die Geräte auf unerwartete Neustarts überwachen, die auf Ausnutzungsversuche hindeuten könnten
Beide Schwachstellen werden aktiv ausgenutzt, und das Zeitfenster für ein sicheres Update wird enger. Organisationen, die die betroffenen Produkte einsetzen, sollten das Einspielen der Patches als Aufgabe von Stunden, nicht Tagen betrachten – insbesondere bei Cisco ASA/FTD, wo das Fehlen eines vollwertigen Workarounds das Update zur einzigen zuverlässigen Schutzmaßnahme macht.
