============================================================================== CISA CONFIRMA EXPLOTACIÓN ACTIVA EN GITLAB Y CISCO ASA/FTD ============================================================================== Fuente: https://www.vantis.cl/noticias/cisa-kev-gitlab-cisco-asa-ftd-explotacion-activa Publicado: 2026-11-03 (hora de Chile) Ambito: chile · Criticidad: alta Descargado: 2026-11-03 13:40 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Syslog de Cisco ASA/FTD (nivel firewall, mensajes de reinicio/crash) · production.log y gitlab-rails log de instancias GitLab autoalojadas · Agente EDR o Wazuh en el host de gestión de GitLab · SIEM central (Sentinel, Splunk, QRadar) recibiendo CEF/Syslog del firewall perimetral ============================================================================== REGLA 1 de 5 · SIGMA (canonica, neutral) Reinicios repetidos en Cisco ASA/FTD compatibles con explotación de CVE-2026-76418 ============================================================================== Requiere: Syslog de Cisco ASA/FTD enviado al SIEM con el hostname del dispositivo como campo distinguible. title: Reinicios repetidos en Cisco ASA FTD posible explotacion CVE-2026-76418 id: f3a1c2d4-8b6e-4a2f-9c3d-7e5b1a0f6d82 status: experimental description: Detecta caidas o reinicios no programados repetidos en un mismo dispositivo Cisco ASA o FTD en una ventana corta, patron compatible con la explotacion de CVE-2026-76418 (NULL pointer dereference / DoS). No reemplaza confirmacion del fabricante ni analisis de crashinfo. references: - https://www.cisa.gov/news-events/alerts/2026/10/29/cisa-adds-two-known-exploited-vulnerabilities-catalog logsource: category: firewall product: cisco detection: selection: Message|contains: - 'Reload requested' - 'Traceback' - 'Device restarted' - '%ASA-1-' timeframe: 15m condition: selection | count(Message) by DeviceHostname >= 2 falsepositives: - Mantenimiento programado o actualizacion de firmware - Falla de hardware no relacionada - Conmutacion de alta disponibilidad (failover) normal level: high tags: - attack.impact - attack.t1499 - cve.2026.76418 ============================================================================== REGLA 2 de 5 · MICROSOFT SENTINEL - KQL Conteo de reinicios ASA/FTD por dispositivo en ventanas de 15 minutos ============================================================================== Requiere: Conector CEF/Syslog de Cisco ASA ingresando a la tabla CommonSecurityLog en Sentinel. let umbral = 2; CommonSecurityLog | where DeviceVendor == "Cisco" and DeviceProduct has_any ("ASA", "FTD", "Firepower Threat Defense") | where Message has_any ("Reload requested", "Traceback", "Device restarted") | summarize Eventos = count() by DeviceHostName, bin(TimeGenerated, 15m) | where Eventos >= umbral ============================================================================== REGLA 3 de 5 · SPLUNK - SPL Correlación de reinicios ASA/FTD en Splunk ============================================================================== Requiere: Índice network_firewall con TA-cisco-asa o TA para FTD instalado y syslog remoto habilitado en el dispositivo. index=network_firewall (sourcetype=cisco:asa OR sourcetype=cisco:ftd) ("Reload requested" OR "Traceback" OR "Device restarted") | bin _time span=15m | stats count as eventos by host, _time | where eventos >= 2 ============================================================================== REGLA 4 de 5 · SIGMA (canonica, neutral) Reinicio anómalo de workers GitLab compatible con explotación de CVE-2026-97229 ============================================================================== Requiere: Logs de production.log y gitlab-rails de GitLab autoalojado centralizados en el SIEM o en Wazuh. title: Reinicio anomalo de workers GitLab tras solicitud atipica id: 7d4e2a1c-3f9b-4c6a-8e2d-1a9c5f3b7e04 status: experimental description: Detecta reinicios inesperados de procesos Puma/Sidekiq de GitLab autoalojado asociados a errores HTTP 500, patron compatible con explotacion de un desbordamiento de enteros (CVE-2026-97229). CISA no ha publicado IOCs; regla puramente conductual, pendiente de validacion contra un caso confirmado. references: - https://www.cve.org/CVERecord?id=CVE-2026-97229 logsource: category: application product: gitlab detection: selection_crash: Message|contains: - 'Puma worker' - 'exited unexpectedly' - 'SIGSEGV' - 'SIGABRT' selection_request: HttpStatus: 500 condition: selection_crash and selection_request falsepositives: - Despliegues o reinicios programados del servicio GitLab - Agotamiento de memoria por jobs de CI pesados, sin relacion con el CVE level: medium ============================================================================== REGLA 5 de 5 · WAZUH / VERIFICACION EN HOST Detección de caída de worker GitLab por señal de segmentación ============================================================================== Requiere: Agente Wazuh en el host de GitLab con decoder configurado para production.log / gitlab-rails. gitlab SIGSEGV|SIGABRT|exited unexpectedly Posible explotacion de CVE-2026-97229 en GitLab: caida de worker tras solicitud anomala gitlab,vulnerability_detection, ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== Ninguna de las dos reglas de crash/reinicio distingue por sí sola entre explotación y causas benignas: ventanas de mantenimiento, actualizaciones de firmware, failover de alta disponibilidad en ASA/FTD, o despliegues y jobs de CI pesados en GitLab generan el mismo patrón observable. Úsense como disparador de investigación, no como confirmación automática, y corrélense siempre con la ventana de cambios programados (change management) antes de escalar. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================