29 жовтня 2026 року Агентство з кібербезпеки та захисту інфраструктури США (CISA) додало до каталогу відомих експлуатованих вразливостей (KEV) дві вразливості — критичну RCE у GitLab CE/EE (CVE-2026-97229, CVSS 10.0) і DoS-вразливість у Cisco Secure Firewall (CVE-2026-76418, CVSS 8.6). Обидві вразливості експлуатуються в реальних атаках. Організаціям, які використовують GitLab версій 19.2–19.4 або Cisco ASA/FTD з налаштованою вторинною автентифікацією на тунельних групах, необхідно негайно встановити оновлення. Для федеральних агентств США строк усунення встановлено до 1 листопада 2026 року.
CVE-2026-97229: віддалене виконання коду у GitLab без автентифікації
Відповідно до запису CVE, вразливість CVE-2026-97229 належить до класу CWE-190 (переповнення цілого числа) і отримала максимальну оцінку CVSS 10.0 за вектором CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Це означає: мережевий вектор атаки, низька складність, відсутність необхідності в автентифікації або взаємодії користувача, повний вплив на конфіденційність, цілісність і доступність з виходом за межі контексту вразливого компонента.
Вразливість дає змогу неавтентифікованому зловмиснику виконати довільний код на сервері GitLab, надіславши спеціально сформований регулярний вираз у конфігурації CI/CD. Причина — недостатня валідація регулярних виразів, що призводить до переповнення цілого числа.
Зачеплені версії GitLab Community Edition і Enterprise Edition:
- 19.2 до 19.2.8
- 19.3 до 19.3.5
- 19.4 до 19.4.2
Раніше ми вже детально розбирали цю вразливість. Тепер її включення до каталогу KEV підтверджує: загроза перейшла з теоретичної площини в практичну.
Відповідно до вихідного матеріалу, приводом для додавання до KEV став інцидент, про який повідомив проєкт Alpine Linux. За наявними даними, невідомий зловмисник здійснив спроби експлуатації вразливості проти невиправленого екземпляра GitLab 20 і 21 жовтня 2026 року, надсилаючи спеціально сформовані конфігурації CI/CD. Робочі процеси GitLab аварійно завершувалися вісім разів, при цьому в чотирьох випадках експлойт не спрацював на наступному етапі. Зловмисник також завантажив образ контейнера Alpine Linux GitLab. Повторні спроби доступу 25 і 26 жовтня були заблоковані. Супровідники Alpine Linux заявили, що «атака була близька до успіху», але доказів успішної компрометації не виявили. Водночас екземпляр був розцінений як скомпрометований і перескладений з нуля. Перевірки показали, що репозиторій aports, пакети та релізи від 21 жовтня не були змінені. Слід зазначити, що цю інформацію отримано з новинного джерела, а не безпосередньо від Alpine Linux, тому деталі інциденту слід сприймати з обережністю.
CVE-2026-76418: відмова в обслуговуванні Cisco Secure Firewall
Друга вразливість — CVE-2026-76418 — зачіпає Cisco Secure Firewall Adaptive Security Appliance (ASA) Software і Cisco Secure Firewall Threat Defense (FTD) Software. Відповідно до бюлетеня Cisco, вразливість класифіковано як CWE-690 (неперевірене значення, що повертається, яке призводить до розіменування нульового вказівника) з оцінкою CVSS 8.6.
Проблема пов’язана з логічними помилками під час обробки запитів, коли на тунельній групі налаштована вторинна автентифікація в сервісі Remote Access SSL VPN. Неавтентифікований віддалений зловмисник може спричинити неочікуване перезавантаження пристрою, що призводить до відмови в обслуговуванні. Критично важливий момент: за даними Cisco, успішний вхід через VPN не вимагається для досягнення вразливого шляху обробки. Це суттєво розширює поверхню атаки — будь-хто, хто може надіслати запит до інтерфейсу SSL VPN, потенційно здатен викликати перезавантаження пристрою.
Cisco PSIRT повідомляє, що стало відомо про активну експлуатацію цієї вразливості в жовтні 2026 року. При цьому ні зловмисників, ні кількість цільових організацій, ні дії після отримання початкового доступу публічно не ідентифіковано.
Пріоритизація усунення
Попри те, що оцінка CVSS у вразливості Cisco (8.6) нижча, ніж у GitLab (10.0), усунення обох проблем має однаково високий пріоритет. У випадку Cisco поєднання кількох факторів робить ситуацію особливо небезпечною: підтверджена активна експлуатація, відсутність необхідності в автентифікації для досягнення вразливого коду, а також відсутність повноцінного тимчасового рішення. Cisco вказує єдиний захід пом’якшення — вимкнення вторинної автентифікації на зачеплених тунельних групах або на групі за замовчуванням DefaultWEBVPNGroup. Однак це може порушити політики безпеки організації, тому переважним залишається оновлення до виправленої версії ПЗ.
Для організацій, які раніше стикалися з вразливостями в продуктах Cisco, варто зазначити, що ми вже висвітлювали критичні вразливості в Cisco ISE і Cisco SD-WAN Manager, що підкреслює необхідність системного підходу до управління вразливостями в інфраструктурі Cisco.
Рекомендації
Для GitLab CE/EE:
- Оновити до версій 19.2.8, 19.3.5 або 19.4.2 відповідно
- Перевірити логи CI/CD на наявність аномальних конфігурацій з нестандартними регулярними виразами
- Обмежити мережевий доступ до екземплярів GitLab до завершення оновлення
Для Cisco ASA/FTD:
- Встановити оновлення ПЗ до виправленої версії згідно з бюлетенем Cisco
- Якщо негайне оновлення неможливе — розглянути вимкнення вторинної автентифікації на зачеплених тунельних групах як тимчасовий захід
- Перевірити, чи налаштована вторинна автентифікація на користувацьких або стандартних тунельних групах (DefaultWEBVPNGroup)
- Моніторити пристрої на предмет неочікуваних перезавантажень, які можуть свідчити про спроби експлуатації
Обидві вразливості активно експлуатуються, і вікно для безпечного оновлення звужується. Організаціям, які використовують зачеплені продукти, слід розглядати встановлення патчів як завдання найближчих годин, а не днів — особливо для Cisco ASA/FTD, де відсутність повноцінного тимчасового рішення залишає оновлення єдиним надійним способом захисту.
