El 30 de octubre de 2026, CISA (la agencia de ciberseguridad de los Estados Unidos) agregó dos vulnerabilidades a su catálogo de Known Exploited Vulnerabilities (KEV), citando evidencia de explotación activa. Son dos fallas que ya traté por separado, pero su incorporación al KEV, y la historia detrás de una de ellas, merece un informe propio: muestra la diferencia entre “una falla grave en teoría” y “una falla que alguien está usando ahora”.
Las dos vulnerabilidades
| CVE | Producto | Puntaje | Impacto |
|---|---|---|---|
| CVE-2026-97229 | GitLab CE/EE | 10.0 | Ejecución remota de código sin autenticar |
| CVE-2026-76418 | Cisco ASA / FTD | 8.6 | Denegación de servicio (reinicio del equipo) |
¿Qué es el catálogo KEV y por qué importa?
El KEV es una lista que mantiene CISA con vulnerabilidades para las que hay evidencia de explotación en el mundo real. No es lo mismo que “puntaje alto”: muchas fallas críticas nunca se explotan masivamente, y otras de puntaje medio sí. El KEV es una señal de prioridad basada en lo que efectivamente está pasando.
- Para las agencias federales civiles de EE. UU. (FCEB) figurar en el KEV implica un plazo obligatorio de remediación. En este caso, CISA fijó el 1 de noviembre de 2026.
- Para cualquier otra organización, el KEV es una de las mejores listas públicas para ordenar el parcheo: si algo está acá, subilo al tope de la cola.
El caso de GitLab: cuando el ataque casi funciona
La parte más instructiva es por qué entró CVE-2026-97229 (la RCE de GitLab). Su incorporación se relaciona con un incidente que Alpine Linux, una distribución de Linux enfocada en seguridad, reportó públicamente sobre su propia instancia de GitLab.
Según sus mantenedores, “el ataque estuvo cerca de funcionar”. No encontraron evidencia de que tuviera éxito, pero, y esto es lo correcto, no pudieron descartarlo, así que trataron la instancia como comprometida y la reconstruyeron desde cero. Verificaron además que el repositorio de paquetes (aports), los paquetes y los releases del 21 de octubre no fueron alterados.
Hay dos lecciones acá:
- La explotación se nota. El síntoma visible fueron caídas repetidas de los procesos worker. Monitorear reinicios anómalos de servicios es, muchas veces, la primera señal de que alguien está probando algo.
- Ante la duda, se asume compromiso. No poder probar que el ataque falló no es lo mismo que probar que no pasó nada. Reconstruir desde cero y verificar la integridad de los artefactos es la respuesta prudente.
El caso de Cisco: un servicio expuesto por diseño
CVE-2026-76418 es “solo” una denegación de servicio, pero afecta al VPN SSL de acceso remoto de firewalls ASA y FTD: un servicio que, por su función, está expuesto a Internet. Cisco confirmó explotación activa en octubre de 2026 sin dar detalles sobre quién está detrás ni la escala. Un atacante que puede reiniciar a voluntad el firewall que da acceso remoto a una organización tiene una herramienta de interrupción concreta.
Qué llevarse de todo esto
- Priorizá por explotación, no solo por puntaje. El KEV de CISA es una fuente pública y gratuita para hacerlo.
- Parcheá lo expuesto a Internet primero. GitLab self-managed y VPNs de acceso remoto son superficie de ataque directa.
- Instrumentá detección. Caídas y reinicios repetidos de procesos pueden ser la huella de un intento de explotación.
- Tené un plan de respuesta. La reacción de Alpine Linux (asumir compromiso, reconstruir, verificar integridad) es un buen modelo.
Fuentes
Fuente oficial:
Complementarias:
- NVD: CVE-2026-97229 · NVD: CVE-2026-76418
- The Hacker News: CISA Adds Actively Exploited GitLab RCE and Cisco Firewall DoS Flaws to KEV
Informes relacionados en este blog: CVE-2026-97229 (GitLab) y CVE-2026-76418 (Cisco).