De Amerikaanse cyberbeveiligingsdienst CISA heeft donderdag twee kwetsbaarheden aan de Known Exploited Vulnerabilities (KEV)-catalogus toegevoegd: een kritiek lek in GitLab en een denial-of-service-fout in Cisco Secure Firewall ASA en FTD. Voor beide ziet CISA bewijs van actief misbruik. Amerikaanse federale instanties moeten de fixes uiterlijk 1 november hebben toegepast.
Het zwaarste lek is CVE-2026-97229 in de CI/CD Regular Expression Compiler van GitLab Community Edition en Enterprise Edition, met de maximale CVSS-score van 10,0. GitLab patchte de integer-overflow al half oktober naar aanleiding van een melding via het eigen bugbountyprogramma door onderzoeker joaxcar (zie GitLab verhelpt kritieke RCE-kwetsbaarheid). Een ongeauthenticeerde aanvaller kan met een kwaadaardig opgestelde reguliere expressie in een CI/CD-configuratie willekeurige code op de server uitvoeren. Zelfgehoste installaties die nog niet zijn bijgewerkt naar 19.2.8, 19.3.5 of 19.4.2 lopen risico.
Dat het inmiddels verder gaat dan een theoretisch risico, blijkt uit een incident bij Alpine Linux. Het project meldt dat een onbekende aanvaller op 20 en 21 oktober een ongepatchte GitLab-instantie probeerde aan te vallen met kwaadaardige CI-configuraties. De GitLab-workerprocessen crashten daarbij acht keer; viermaal liep de exploitpoging vast in de volgende stap. De aanvaller downloadde ook de GitLab-containerimage van Alpine. Op 25 en 26 oktober werden nieuwe pogingen geblokkeerd. Alpine vond geen bewijs dat de aanval slaagde, maar behandelde de server toch als gecompromitteerd en bouwde die opnieuw op; controles wezen uit dat de aports-repository, de pakketten en de releases van 21 oktober niet gemanipuleerd waren. GitLab heeft naar aanleiding van waargenomen exploitatiepogingen inmiddels eigen threat-detecties uitgebracht voor self-managed instanties. Beveiligingsbedrijf Shadowserver telt bijna 2.800 GitLab Community Edition-instanties die vanaf het internet bereikbaar zijn; hoeveel daarvan al gepatcht zijn, is niet bekend.
Het tweede lek, CVE-2026-76418 (CVSS 8,6), zit in Cisco Secure Firewall ASA- en Threat Defense-software en is al eerder deze maand door Cisco zelf als actief misbruikt gemeld (zie Cisco patcht actief misbruikte ASA- en FTD-zero-day). Een niet-gecontroleerde retourwaarde leidt tot een NULL-pointer-dereference, waardoor een ongeauthenticeerde aanvaller op afstand een apparaat onverwacht kan laten herstarten. Welke aanvallers erachter zitten en hoeveel organisaties zijn getroffen, heeft Cisco niet openbaar gemaakt; de KEV-toevoeging bevestigt alleen dat CISA het misbruik inmiddels zelf heeft geverifieerd.
GitLab is dit jaar vaker doelwit van kritieke kwetsbaarheden. Eerder deze maand verscheen CVE-2026-110264, ook een maximum-severity lek in de Regular Expression Compiler, en twee weken later CVE-2026-85706 in de repository commits API, waarmee gevoelige gegevens zoals inloggegevens gelezen konden worden en dat na scanmeldingen van onderzoeksbureau watchTowr eveneens in de KEV-lijst belandde. CISA heeft sinds november 2021 nu zes GitLab-kwetsbaarheden als actief misbruikt aangemerkt. GitLab wordt door meer dan de helft van de Fortune 100-bedrijven gebruikt.
Draait u self-managed GitLab, controleer dan nu of u al op 19.2.8, 19.3.5 of 19.4.2 staat en kijk naar de nieuwe threat-detecties voor tekenen van misbruik. Gebruikt u Cisco Secure Firewall ASA of FTD met SSL VPN, dan is de installatie van de eerder uitgebrachte patch tegen CVE-2026-76418 met deze KEV-toevoeging alleen maar urgenter geworden.
Update 2 november: Shadowserver heeft het eerdere, vage cijfer over bereikbare GitLab-instanties scherper gemaakt. De dreigingsmonitor telt nu meer dan 1.000 vanaf het internet bereikbare GitLab-servers die specifiek nog niet zijn gepatcht tegen CVE-2026-97229, terwijl de aanvallen volgens BleepingComputer doorlopen. GitLab.com en GitLab Dedicated draaien zelf al op gepatchte versies.
Bron: The Hacker News, BleepingComputer
Wat betekent dit voor jouw bedrijf?
Draait u self-managed GitLab, controleer dan nu of u al op 19.2.8, 19.3.5 of 19.4.2 staat en kijk met de nieuwe threat-detecties van GitLab naar sporen van misbruik. Gebruikt u Cisco Secure Firewall ASA of FTD met SSL VPN, dan maakt deze KEV-toevoeging de eerder uitgebrachte patch tegen CVE-2026-76418 alleen maar urgenter.
Zelfde kwetsbaarheid
Aanvaller probeert Alpine Linux's GitLab te kraken via kritiek lek, verouderde Ruby hield het tegen
DreigingenCisco patcht actief misbruikte ASA- en FTD-zero-day die firewalls laat crashen
DreigingenGitLab dicht kritiek RCE-lek CVE-2026-110264, twaalf kwetsbaarheden in totaal
DreigingenGitLab verhelpt kritieke RCE-kwetsbaarheid met CVSS-score 10 in CI/CD-compiler
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.