Angreifer missbrauchen derzeit Sicherheitslücken in Ciscos Firewalls und in GitLab. Details zu Art und Umfang der Angriffe gibt es kaum, Cisco rät aber dazu, die korrigierten Versionen sofort zu installieren. Die US-Behörde CISA hat beide Schwachstellen in ihren Katalog der Known Exploited Vulnerabilities aufgenommen.
Cisco ASA und FTD: Neustart per VPN-Anfrage
Cisco hat am Mittwochabend eine Sicherheitsmitteilung zu einer Denial-of-Service-Lücke im SSL-VPN der Firewalls Cisco ASA und Cisco FTD veröffentlicht (CVE-2026-76418, CVSS 8.6, Risiko hoch). Ursache ist ein Logikfehler, wenn in der Tunnel-Gruppe eine "secondary authentication" konfiguriert ist. Angreifer können dann beim Verbindungsaufbau manipulierte Anfragen schicken, die die Appliance neu starten lassen.
Einen offiziellen Workaround gibt es nicht. Bestimmte Einstellungen können helfen, schränken die Nutzer aber ein. Besser ist das Update. Laut Cisco sind diese Versionen und neuere nicht mehr betroffen:
- Cisco Secure Firewall ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 und 9.24.10.1
- Cisco Secure FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 und 10.1.1
GitLab: Schadcode über präparierte Regex
Die GitLab-Lücke ist seit Mitte Oktober bekannt und hat die Höchstwertung (CVE-2026-97229, CVSS 10.0, kritisch). Angreifer können ohne Anmeldung über sorgfältig präparierte reguläre Ausdrücke in einer CI/CD-Konfiguration Schadcode auf GitLab-Servern ausführen. Behoben ist das laut dem Patch-Release vom 12. Oktober in GitLab 19.2.8, 19.3.5 und 19.4.2 sowie neueren Versionen.
Die CISA bestätigt nur, dass Angriffe beobachtet wurden. Mehr verrät das Team von Alpine Linux in einer Mitteilung zu einem Sicherheitsvorfall. Am 20. und 21. Oktober, also eine Woche nach Erscheinen der Updates, wurde die GitLab-Instanz des Projekts angegriffen. Belege für einen erfolgreichen Einbruch fand das Team nicht. Es betrachtet die Instanz trotzdem als kompromittiert und hat sie komplett neu aufgebaut.
Warum das Update allein nicht reichte
Zum Zeitpunkt des Angriffs lief bei Alpine noch die verwundbare Version 19.3.4. Das Team hatte am 13. Oktober versehentlich diese Version statt der korrigierten 19.3.5 eingespielt. Auch das Upgrade auf 19.3.6 am 22. Oktober schloss die Lücke noch nicht. Der Grund: Die Korrektur steckt nicht im GitLab-Code, sondern in einem Patch für Ruby, den GitLab nur in seine offiziellen Pakete einbaut. Das Alpine-Image nutzte aber Standard-Ruby ohne diesen Patch.
Wenn Du GitLab mit selbst verwaltetem Ruby betreibst, reicht das GitLab-Update also nicht. Ruby muss mindestens auf 3.3.13, 3.4.12 oder 4.0.9 stehen. Alpine hat den Neuaufbau am Mittwoch abgeschlossen, testet vor der Wiedereröffnung noch und hat alle Passwörter zurückgesetzt. Wer das Container-Image "alpinelinux/gitlab" nutzt, sollte Version 19.3.6 erneut herunterladen. Erst das Image vom 27. Oktober bringt Ruby 3.3.13 mit und schließt die Lücke.