29 октября 2026 года Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило в каталог известных эксплуатируемых уязвимостей (KEV) две уязвимости — критическую RCE в GitLab CE/EE (CVE-2026-97229, CVSS 10.0) и DoS-уязвимость в Cisco Secure Firewall (CVE-2026-76418, CVSS 8.6). Обе уязвимости эксплуатируются в реальных атаках. Организациям, использующим GitLab версий 19.2–19.4 или Cisco ASA/FTD с настроенной вторичной аутентификацией на туннельных группах, необходимо незамедлительно установить обновления. Для федеральных агентств США срок устранения установлен до 1 ноября 2026 года.
CVE-2026-97229: удалённое выполнение кода в GitLab без аутентификации
Согласно записи CVE, уязвимость CVE-2026-97229 относится к классу CWE-190 (целочисленное переполнение) и получила максимальную оценку CVSS 10.0 по вектору CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Это означает: сетевой вектор атаки, низкая сложность, отсутствие необходимости в аутентификации или взаимодействии пользователя, полное воздействие на конфиденциальность, целостность и доступность с выходом за пределы контекста уязвимого компонента.
Уязвимость позволяет неаутентифицированному злоумышленнику выполнить произвольный код на сервере GitLab, отправив специально сформированное регулярное выражение в конфигурации CI/CD. Причина — недостаточная валидация регулярных выражений, приводящая к целочисленному переполнению.
Затронутые версии GitLab Community Edition и Enterprise Edition:
- 19.2 до 19.2.8
- 19.3 до 19.3.5
- 19.4 до 19.4.2
Ранее мы уже подробно разбирали эту уязвимость. Теперь её включение в каталог KEV подтверждает: угроза перешла из теоретической плоскости в практическую.
Согласно исходному материалу, поводом для добавления в KEV стал инцидент, о котором сообщил проект Alpine Linux. По имеющимся данным, неизвестный злоумышленник предпринял попытки эксплуатации уязвимости против незапатченного экземпляра GitLab 20 и 21 октября 2026 года, отправляя специально сформированные конфигурации CI/CD. Рабочие процессы GitLab аварийно завершались восемь раз, при этом в четырёх случаях эксплойт не сработал на следующем этапе. Злоумышленник также загрузил образ контейнера Alpine Linux GitLab. Повторные попытки доступа 25 и 26 октября были заблокированы. Сопровождающие Alpine Linux заявили, что «атака была близка к успеху», но доказательств успешной компрометации не обнаружили. Тем не менее экземпляр был расценён как скомпрометированный и пересобран с нуля. Проверки показали, что репозиторий aports, пакеты и релизы от 21 октября не были изменены. Следует отметить, что эта информация получена из новостного источника, а не напрямую от Alpine Linux, поэтому детали инцидента следует воспринимать с осторожностью.
CVE-2026-76418: отказ в обслуживании Cisco Secure Firewall
Вторая уязвимость — CVE-2026-76418 — затрагивает Cisco Secure Firewall Adaptive Security Appliance (ASA) Software и Cisco Secure Firewall Threat Defense (FTD) Software. Согласно бюллетеню Cisco, уязвимость классифицирована как CWE-690 (непроверённое возвращаемое значение, приводящее к разыменованию нулевого указателя) с оценкой CVSS 8.6.
Проблема связана с логическими ошибками при обработке запросов, когда на туннельной группе настроена вторичная аутентификация в службе Remote Access SSL VPN. Неаутентифицированный удалённый злоумышленник может вызвать неожиданную перезагрузку устройства, что приводит к отказу в обслуживании. Критически важный момент: по данным Cisco, успешный вход через VPN не требуется для достижения уязвимого пути обработки. Это существенно расширяет поверхность атаки — любой, кто может отправить запрос к интерфейсу SSL VPN, потенциально способен вызвать перезагрузку устройства.
Cisco PSIRT сообщает, что стало известно об активной эксплуатации этой уязвимости в октябре 2026 года. При этом ни злоумышленники, ни количество целевых организаций, ни действия после получения начального доступа публично не идентифицированы.
Приоритизация устранения
Несмотря на то что оценка CVSS у уязвимости Cisco (8.6) ниже, чем у GitLab (10.0), устранение обеих проблем требует одинаково высокого приоритета. В случае Cisco сочетание нескольких факторов делает ситуацию особенно опасной: подтверждённая активная эксплуатация, отсутствие необходимости в аутентификации для достижения уязвимого кода, а также отсутствие полноценного обходного решения. Cisco указывает единственную меру смягчения — отключение вторичной аутентификации на затронутых туннельных группах или на группе по умолчанию DefaultWEBVPNGroup. Однако это может нарушить политики безопасности организации, поэтому предпочтительным остаётся обновление до исправленной версии ПО.
Для организаций, ранее сталкивавшихся с уязвимостями в продуктах Cisco, стоит отметить, что мы уже освещали критические уязвимости в Cisco ISE и Cisco SD-WAN Manager, что подчёркивает необходимость системного подхода к управлению уязвимостями в инфраструктуре Cisco.
Рекомендации
Для GitLab CE/EE:
- Обновить до версий 19.2.8, 19.3.5 или 19.4.2 соответственно
- Проверить логи CI/CD на наличие аномальных конфигураций с нестандартными регулярными выражениями
- Ограничить сетевой доступ к экземплярам GitLab до завершения обновления
Для Cisco ASA/FTD:
- Установить обновление ПО до исправленной версии согласно бюллетеню Cisco
- Если немедленное обновление невозможно — рассмотреть отключение вторичной аутентификации на затронутых туннельных группах как временную меру
- Проверить, настроена ли вторичная аутентификация на пользовательских или стандартных туннельных группах (DefaultWEBVPNGroup)
- Мониторить устройства на предмет неожиданных перезагрузок, которые могут свидетельствовать о попытках эксплуатации
Обе уязвимости активно эксплуатируются, и окно для безопасного обновления сужается. Организациям, использующим затронутые продукты, следует рассматривать установку патчей как задачу ближайших часов, а не дней — особенно для Cisco ASA/FTD, где отсутствие полноценного обходного решения оставляет обновление единственным надёжным способом защиты.
