Zwei Schwachstellen, die in vielen deutschen Unternehmen direkt betroffen sein dürften, werden inzwischen nachweislich angegriffen. Die US-Cybersicherheitsbehörde CISA hat am 29. Oktober 2026 eine Lücke in GitLab mit der Höchstwertung CVSS 10,0 und einen Denial-of-Service-Fehler in Ciscos Firewall-Software ASA und FTD (CVSS 8,6) in ihren Katalog „Known Exploited Vulnerabilities" (KEV) aufgenommen. Patches existieren für beide Produkte. Wer sie noch nicht eingespielt hat, sollte das jetzt nachholen.

Der KEV-Katalog ist zwar formal nur für US-Bundesbehörden verbindlich: Sie müssen beide Lücken bis zum 1. November 2026 schließen. Er gilt aber weltweit als verlässlicher Hinweis darauf, dass eine Schwachstelle nicht mehr nur theoretisch gefährlich ist.

Was steckt hinter der GitLab-Lücke?

CVE-2026-97229 ist ein Integer Overflow im Compiler für reguläre Ausdrücke. Laut GitLab kann ein nicht angemeldeter Nutzer über einen präparierten regulären Ausdruck in einer CI/CD-Konfiguration beliebigen Code auf dem GitLab-Server ausführen. Betroffen sind Community und Enterprise Edition in den Zweigen 19.2 bis 19.4. Die Fehlerbehebung steckt in den Versionen 19.2.8, 19.3.5 und 19.4.2, die GitLab bereits am 12. Oktober zusammen mit Korrekturen für insgesamt 24 Schwachstellen veröffentlicht hat. Wie die Lücke genau ausgenutzt wird, beschreiben wir bewusst nicht.

Schon Ende September hatte GitLab zwei ähnliche Regex-Fehler mit CVSS 9,9 geschlossen (unser Bericht zu GitLab 19.4.1). Damals war für einen Angriff noch eine Anmeldung nötig.

Warum ein Update allein nicht immer reicht

Der eigentliche Fehler sitzt in Onigmo, der Regex-Engine von Ruby. Die offiziellen GitLab-Pakete bringen ein korrigiertes Ruby mit. Wer GitLab dagegen auf einem selbst gebauten Image oder mit dem Ruby der Distribution betreibt, benötigt zusätzlich Ruby 3.3.13, 3.4.12 oder 4.0.9 (erschienen am 23. Oktober).

Genau daran ist das Projekt Alpine Linux gescheitert. Nach eigenem Bericht versuchte ein frisch registriertes Konto ab dem 20. Oktober, die Lücke auf der öffentlichen GitLab-Instanz des Projekts auszunutzen. Dabei stürzten die Worker-Prozesse achtmal ab. Einen erfolgreichen Einbruch konnte Alpine nicht nachweisen, aber auch nicht ausschließen. Das Team behandelte den Server deshalb als kompromittiert, baute ihn bis zum 28. Oktober komplett neu auf und setzte alle Passwörter und Schlüssel zurück. Die Signaturschlüssel der Pakete waren laut Alpine nicht betroffen.

Cisco: Firewalls mit SSL-VPN können abstürzen

CVE-2026-76418 betrifft den Remote-Access-SSL-VPN-Dienst von Cisco Secure Firewall ASA und Secure Firewall Threat Defense (FTD). Ist in einer Tunnelgruppe eine sekundäre Authentifizierung eingerichtet, kann ein Angreifer ohne Zugangsdaten das Gerät per präparierter Anfrage zum Neustart bringen. Daten werden dabei nicht abgegriffen, aber das VPN fällt aus, und Mitarbeiter im Homeoffice verlieren die Verbindung zum Firmennetz.

Cisco hat das Advisory am 28. Oktober um 20:15 Uhr (MEZ) veröffentlicht und bestätigt Angriffe seit Oktober. Einen echten Workaround gibt es nicht. Als Notlösung nennt Cisco, die sekundäre Authentifizierung in den betroffenen Tunnelgruppen abzuschalten – das kostet jedoch Sicherheit oder Komfort.

ProduktLückeCVSSKorrigierte Versionen
GitLab CE/EECVE-2026-97229, Codeausführung10,019.2.8, 19.3.5, 19.4.2 (bei eigenen Images zusätzlich aktuelles Ruby)
Cisco ASACVE-2026-76418, Neustart (DoS)8,69.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 und 9.24.10.1
Cisco FTDCVE-2026-76418, Neustart (DoS)8,67.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, 10.1.1
Cisco-Hauptsitz in San Jose
Foto: Travis Wise / Wikimedia Commons, CC BY 2.0

Was Administratoren jetzt tun sollten

Bei Cisco gilt: Maßgeblich ist der eigene Release-Zweig, also etwa 9.22.3.200 für ASA 9.22 oder 7.6.7 für FTD 7.6.

  • GitLab: Version im Admin-Bereich prüfen und mindestens auf 19.2.8, 19.3.5 oder 19.4.2 aktualisieren. Bei eigenen Images zusätzlich ruby -v kontrollieren. GitLab.com und GitLab Dedicated verwaltet der Hersteller selbst.
  • Offene Registrierung: Wer die Selbstregistrierung nicht braucht, sollte sie abschalten – bei Alpine kam der Angriff über ein neues Konto.
  • Spuren prüfen: Ungewöhnliche Abstürze von Worker-Prozessen seit dem 12. Oktober sind ein Warnsignal. Im Zweifel Zugangsdaten und Tokens erneuern.
  • Cisco: Auf eine der oben genannten Versionen wechseln, besonders wenn SSL-VPN mit Zweitfaktor über eine Tunnelgruppe läuft.

Ähnlich wie bei den jüngsten Angriffen auf SharePoint und MikroTik liegen die Patches also schon bereit. Gefährdet sind vor allem Systeme, die noch nicht aktualisiert wurden.

Häufige Fragen

Bin ich als GitLab.com-Nutzer betroffen?

Nein. Handeln müssen nur Betreiber selbst gehosteter Instanzen.

Gilt die Frist vom 1. November auch in Deutschland?

Nein, sie gilt nur für US-Bundesbehörden. Wegen der laufenden Angriffe ist ein schnelles Update aber auch hierzulande ratsam.

Werden über die Cisco-Lücke Daten gestohlen?

Nach Ciscos Beschreibung führt sie zu einem Neustart des Geräts, also zu einem Ausfall. Von Datenabfluss ist keine Rede.