El 29 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) añadió al catálogo de vulnerabilidades explotadas conocidas (KEV) dos vulnerabilidades: una RCE crítica en GitLab CE/EE (CVE-2026-97229, CVSS 10.0) y una vulnerabilidad de DoS en Cisco Secure Firewall (CVE-2026-76418, CVSS 8.6). Ambas vulnerabilidades se explotan en ataques reales. Las organizaciones que utilicen GitLab en las versiones 19.2–19.4 o Cisco ASA/FTD con autenticación secundaria configurada en grupos de túneles deben instalar los parches de inmediato. Para las agencias federales de EE. UU., el plazo de corrección se ha fijado hasta el 1 de noviembre de 2026.
CVE-2026-97229: ejecución remota de código en GitLab sin autenticación
Según el registro CVE, la vulnerabilidad CVE-2026-97229 pertenece a la clase CWE-190 (desbordamiento de entero) y ha recibido la puntuación máxima CVSS 10.0 con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Esto significa: vector de ataque de red, baja complejidad, ausencia de necesidad de autenticación o de interacción del usuario, impacto total en confidencialidad, integridad y disponibilidad, con salida fuera del contexto del componente vulnerable.
La vulnerabilidad permite a un atacante no autenticado ejecutar código arbitrario en el servidor GitLab enviando una expresión regular especialmente creada en la configuración de CI/CD. La causa es una validación insuficiente de las expresiones regulares, que conduce a un desbordamiento de entero.
Versiones afectadas de GitLab Community Edition y Enterprise Edition:
- 19.2 hasta 19.2.8
- 19.3 hasta 19.3.5
- 19.4 hasta 19.4.2
Anteriormente ya hemos analizado en detalle esta vulnerabilidad. Ahora, su inclusión en el catálogo KEV confirma que la amenaza ha pasado del plano teórico al práctico.
Según la fuente original, el motivo de la inclusión en KEV fue un incidente reportado por el proyecto Alpine Linux. De acuerdo con los datos disponibles, un atacante desconocido intentó explotar la vulnerabilidad contra una instancia de GitLab sin parchear los días 20 y 21 de octubre de 2026, enviando configuraciones de CI/CD especialmente preparadas. Los flujos de trabajo de GitLab se interrumpieron de forma anómala ocho veces y, en cuatro de estos casos, el exploit no funcionó en la fase siguiente. El atacante también subió una imagen de contenedor Alpine Linux GitLab. Los intentos repetidos de acceso los días 25 y 26 de octubre fueron bloqueados. Los mantenedores de Alpine Linux declararon que «el ataque estuvo cerca de tener éxito», pero no encontraron pruebas de una compromisión efectiva. No obstante, la instancia se consideró comprometida y se reconstruyó desde cero. Las comprobaciones mostraron que el repositorio aports, los paquetes y las versiones del 21 de octubre no habían sido modificados. Cabe señalar que esta información procede de una fuente de noticias, y no directamente de Alpine Linux, por lo que los detalles del incidente deben tratarse con cautela.
CVE-2026-76418: denegación de servicio en Cisco Secure Firewall
La segunda vulnerabilidad — CVE-2026-76418 — afecta a Cisco Secure Firewall Adaptive Security Appliance (ASA) Software y Cisco Secure Firewall Threat Defense (FTD) Software. Según el aviso de seguridad de Cisco, la vulnerabilidad se clasifica como CWE-690 (valor devuelto sin comprobar que conduce a la desreferenciación de un puntero nulo) con una puntuación CVSS de 8.6.
El problema está relacionado con errores lógicos en el procesamiento de solicitudes cuando se configura la autenticación secundaria en un grupo de túneles en el servicio Remote Access SSL VPN. Un atacante remoto no autenticado puede provocar un reinicio inesperado del dispositivo, lo que lleva a una denegación de servicio. Un punto crítico: según Cisco, no se requiere un inicio de sesión satisfactorio a través de la VPN para alcanzar la ruta de procesamiento vulnerable. Esto amplía considerablemente la superficie de ataque: cualquiera que pueda enviar una solicitud a la interfaz SSL VPN potencialmente puede provocar el reinicio del dispositivo.
Cisco PSIRT informa de que tuvo conocimiento de la explotación activa de esta vulnerabilidad en octubre de 2026. Sin embargo, ni los atacantes, ni el número de organizaciones objetivo, ni las acciones posteriores a la obtención del acceso inicial se han identificado públicamente.
Priorización de la corrección
Aunque la puntuación CVSS de la vulnerabilidad de Cisco (8.6) es inferior a la de GitLab (10.0), la corrección de ambos problemas requiere la misma prioridad alta. En el caso de Cisco, la combinación de varios factores hace que la situación sea especialmente peligrosa: explotación activa confirmada, ausencia de necesidad de autenticación para alcanzar el código vulnerable y ausencia de una solución temporal completa. Cisco indica una única medida de mitigación: desactivar la autenticación secundaria en los grupos de túneles afectados o en el grupo por defecto DefaultWEBVPNGroup. Sin embargo, esto puede vulnerar las políticas de seguridad de la organización, por lo que la opción preferente sigue siendo actualizar a una versión de software corregida.
Para las organizaciones que anteriormente se han enfrentado a vulnerabilidades en productos Cisco, cabe señalar que ya hemos cubierto vulnerabilidades críticas en Cisco ISE y en Cisco SD-WAN Manager, lo que subraya la necesidad de un enfoque sistemático para la gestión de vulnerabilidades en la infraestructura de Cisco.
Recomendaciones
Para GitLab CE/EE:
- Actualizar a las versiones 19.2.8, 19.3.5 o 19.4.2, según corresponda
- Comprobar los registros de CI/CD en busca de configuraciones anómalas con expresiones regulares no estándar
- Restringir el acceso de red a las instancias de GitLab hasta completar la actualización
Para Cisco ASA/FTD:
- Instalar la actualización de software a la versión corregida según el aviso de seguridad de Cisco
- Si no es posible actualizar de inmediato, considerar la desactivación de la autenticación secundaria en los grupos de túneles afectados como medida temporal
- Comprobar si la autenticación secundaria está configurada en grupos de túneles personalizados o estándar (DefaultWEBVPNGroup)
- Monitorizar los dispositivos en busca de reinicios inesperados que puedan indicar intentos de explotación
Ambas vulnerabilidades se explotan activamente y la ventana para actualizar de forma segura se está estrechando. Las organizaciones que utilicen los productos afectados deben considerar la instalación de parches como una tarea de horas, no de días, especialmente en el caso de Cisco ASA/FTD, donde la ausencia de una solución temporal completa deja la actualización como el único medio fiable de protección.
