CISA confirma explotación activa en GitLab y Cisco ASA/FTD

Dos vulnerabilidades ingresan al catálogo KEV con evidencia de explotación en curso: una afecta instancias GitLab autoalojadas y la otra provoca caídas en firewalls Cisco ASA y FTD, ambos con despliegue amplio en banca, telco y gobierno en Chile.

Qué pasó

CISA sumó dos nuevas entradas a su Known Exploited Vulnerabilities (KEV) Catalog el 29 de octubre de 2026, basándose en evidencia de explotación activa (CISA):

• CVE-2026-97229 — GitLab Community Edition (CE) y Enterprise Edition (EE): vulnerabilidad de *Integer Overflow or Wraparound*. CISA no detalla el vector exacto de explotación ni el endpoint afectado. The Hacker News tituló su cobertura refiriéndose a esta falla como una vía de RCE (thehackernews.com), lo que sugiere que el desbordamiento de enteros deriva en corrupción de memoria explotable para ejecución de código — esto es una lectura de la cobertura secundaria, no una confirmación textual de CISA, y la tratamos como hipótesis de alta probabilidad, no como dato cerrado.
• CVE-2026-76418 — Cisco Secure Firewall ASA Software y Secure FTD Software: vulnerabilidad de *Unchecked Return Value* que deriva en *NULL Pointer Dereference*. The Hacker News la describe como una falla que puede provocar la caída (crash) del firewall (thehackernews.com), consistente con un escenario de denegación de servicio (DoS) más que de ejecución remota de código.

La inclusión en KEV activa BOD 26-04 (Binding Operational Directive), que establece requisitos de gestión de vulnerabilidades para agencias del Poder Ejecutivo Civil Federal de EE.UU. (FCEB). No citamos plazos de remediación específicos porque la fuente no los detalla en el texto disponible; quien necesite el plazo exacto debe revisar el catálogo KEV directamente.

Esta no es la primera falla crítica de ninguno de los dos productos en 2026: GitLab acumula al menos cuatro vulnerabilidades críticas (CVSS 9.9–10.0) reportadas entre octubre y principios de noviembre, incluyendo una cadena de RCE no autenticado que afectó doce años de versiones y fallas en su AI Gateway. Cisco, por su parte, viene de una secuencia de fallas explotadas activamente en SD-WAN Manager, Secure Email Gateway y ahora ASA/FTD, todas en el lapso de un mes.

Por qué importa acá

GitLab autoalojado es una pieza común en equipos de desarrollo de bancos, retailers y empresas de tecnología en Chile que optan por no depender de SaaS para su código fuente. Cisco ASA y FTD, por su parte, siguen siendo uno de los firewalls perimetrales e concentradores VPN más desplegados en el país, particularmente en sucursales bancarias, operadores de telecomunicaciones y reparticiones públicas.

Dato verificado: la corroboración cruzada confirma el hecho con cuatro fuentes distintas (CISA, CSA Labs, The Hacker News, Segu-Info), de las cuales dos llegaron al hallazgo por su cuenta (CISA y CSA Labs) — el umbral que exigimos para afirmar un patrón sin matizarlo como indicio. Esto es un estándar más alto que una nota replicada por varios medios citando al mismo fabricante.

Evaluación (confianza media): que ambas vulnerabilidades aparezcan en KEV el mismo día y afecten a productos de borde/infraestructura crítica sugiere que operadores de amenazas están escaneando y explotando de forma oportunista software expuesto a Internet apenas se hace pública la falla, antes de que las organizaciones alcancen a parchar. La explicación alternativa que no podemos descartar es que se trate de hallazgos de investigadores de seguridad reportando explotación en honeypots controlados, no necesariamente de campañas contra víctimas reales — CISA no distingue esto en su aviso.

Deber de reporte: si una entidad calificada como Operador de Importancia Vital (OIV) bajo la Ley 21.663 sufre una caída de su firewall perimetral o un compromiso de su instancia GitLab producto de estas fallas, el incidente cae dentro del régimen de notificación obligatoria a ANCI. La obligación nace del impacto operacional o la exposición de datos, no de la existencia de la CVE en sí misma.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Ambas vulnerabilidades requieren que el activo esté expuesto o alcanzable por el atacante: GitLab vía su interfaz web/API, y ASA/FTD vía la interfaz de gestión o el servicio VPN expuesto a Internet.
• T1499 — CVE-2026-76418 provoca un NULL pointer dereference que, según la cobertura disponible, resulta en la caída del proceso de firewall — el efecto observable es denegación de servicio sobre tráfico y VPN, no necesariamente ejecución de código.

title: Reinicios repetidos en Cisco ASA FTD posible explotacion CVE-2026-76418
id: f3a1c2d4-8b6e-4a2f-9c3d-7e5b1a0f6d82
status: experimental
description: Detecta caidas o reinicios no programados repetidos en un mismo dispositivo Cisco ASA o FTD en una ventana corta, patron compatible con la explotacion de CVE-2026-76418 (NULL pointer dereference / DoS). No reemplaza confirmacion del fabricante ni analisis de crashinfo.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/29/cisa-adds-two-known-exploited-vulnerabilities-catalog
logsource:
  category: firewall
  product: cisco
detection:
  selection:
    Message|contains:
      - 'Reload requested'
      - 'Traceback'
      - 'Device restarted'
      - '%ASA-1-'
  timeframe: 15m
  condition: selection | count(Message) by DeviceHostname >= 2
falsepositives:
  - Mantenimiento programado o actualizacion de firmware
  - Falla de hardware no relacionada
  - Conmutacion de alta disponibilidad (failover) normal
level: high
tags:
  - attack.impact
  - attack.t1499
  - cve.2026.76418

let umbral = 2;
CommonSecurityLog
| where DeviceVendor == "Cisco" and DeviceProduct has_any ("ASA", "FTD", "Firepower Threat Defense")
| where Message has_any ("Reload requested", "Traceback", "Device restarted")
| summarize Eventos = count() by DeviceHostName, bin(TimeGenerated, 15m)
| where Eventos >= umbral

index=network_firewall (sourcetype=cisco:asa OR sourcetype=cisco:ftd) ("Reload requested" OR "Traceback" OR "Device restarted")
| bin _time span=15m
| stats count as eventos by host, _time
| where eventos >= 2

title: Reinicio anomalo de workers GitLab tras solicitud atipica
id: 7d4e2a1c-3f9b-4c6a-8e2d-1a9c5f3b7e04
status: experimental
description: Detecta reinicios inesperados de procesos Puma/Sidekiq de GitLab autoalojado asociados a errores HTTP 500, patron compatible con explotacion de un desbordamiento de enteros (CVE-2026-97229). CISA no ha publicado IOCs; regla puramente conductual, pendiente de validacion contra un caso confirmado.
references:
  - https://www.cve.org/CVERecord?id=CVE-2026-97229
logsource:
  category: application
  product: gitlab
detection:
  selection_crash:
    Message|contains:
      - 'Puma worker'
      - 'exited unexpectedly'
      - 'SIGSEGV'
      - 'SIGABRT'
  selection_request:
    HttpStatus: 500
  condition: selection_crash and selection_request
falsepositives:
  - Despliegues o reinicios programados del servicio GitLab
  - Agotamiento de memoria por jobs de CI pesados, sin relacion con el CVE
level: medium

<rule id="100620" level="10">
  <if_group>gitlab</if_group>
  <match>SIGSEGV|SIGABRT|exited unexpectedly</match>
  <description>Posible explotacion de CVE-2026-97229 en GitLab: caida de worker tras solicitud anomala</description>
  <group>gitlab,vulnerability_detection,</group>
</rule>

Fuentes

• CISACISA Adds Two Known Exploited Vulnerabilities to Catalog · 2026-10-29
• CVE.orgCVE-2026-97229 — GitLab Integer Overflow or Wraparound · 2026-10-29
• CVE.orgCVE-2026-76418 — Cisco ASA/FTD Unchecked Return Value / NULL Pointer Dereference · 2026-10-29
• The Hacker NewsCISA Adds Actively Exploited GitLab RCE and Cisco Firewall DoS Flaws to KEV · 2026-10-30
• The Hacker NewsCisco Patches Actively Exploited ASA and FTD VPN Flaw That Can Crash Firewalls · 2026-10-29
• CISABinding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk · 2026-10-29

Relacionado