أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) في 29 أكتوبر 2026 ثغرتين ضمن فهرس الثغرات المستغلة فعلياً (KEV)، وهما (CVE-2026-97229 بتقييم CVSS عند 10.0) في منصة GitLab بنسختيها المجتمعية (CE) والمؤسسية (EE)، و(CVE-2026-76418 بتقييم CVSS عند 8.6) في برمجيتي Cisco Secure Firewall ASA وSecure FTD. وحددت الأول من نوفمبر 2026 موعداً لتطبيق إجراءات التخفيف وفق تعليمات الشركتين.
أصلحت GitLab الثغرة الأولى في 12 أكتوبر 2026 عبر الإصدارات 19.4.2 و19.3.5 و19.2.8. وصفت النشرة الأمنية الخلل بأنه تجاوز لعدد صحيح في مترجم التعبيرات النمطية لإعدادات CI/CD، يتيح لمستخدم غير مصادق تنفيذ شيفرة عشوائية على الخادم باستخدام تعبير نمطي معد خصيصاً. وأكدت الشركة معالجة الخلل مسبقاً في GitLab.com وGitLab Dedicated، مع إصدار ست قواعد كشف للنسخ المستضافة ذاتياً. تطال الثغرة كافة إصدارات CE وEE ضمن الفروع 19.2 قبل 19.2.8، و19.3 قبل 19.3.5، و19.4 قبل 19.4.2.
قبل إدراج CISA بيوم واحد، نشرت توزيعة Alpine Linux في 28 أكتوبر 2026 تقريراً عن محاولة استغلال لهذه الثغرة على خادم GitLab الخاص بها. أوضحت Alpine أن حساباً مسجلاً حديثاً أرسل في 20 و21 أكتوبر إعدادات CI معدة خصيصاً أدت إلى تعطل عمليات GitLab ثماني مرات، وبلغ المهاجم في أربع منها منتصف الاستغلال قبل الفشل في الخطوة التالية، ليعود في 25 و26 أكتوبر دون تحقيق اختراق. ورغم عدم وجود دليل على نجاح الهجوم، تعاملت التوزيعة مع الخادم على أنه مخترق، لتعيد بناءه من الصفر مع تبديل كلمات المرور والمفاتيح السرية.
أضافت Alpine أن مستودع aports وحزمها وإصدارات 21 أكتوبر طابقتها بسجلات خارج GitLab دون رصد أي عبث بها. وأشارت إلى أن ترقية GitLab وحدها لم تغلق الثغرة فعلياً، نظراً لكون الإصلاح يشمل لغة Ruby المضمنة التي صدر إصلاحها الأصلي في 23 أكتوبر. ولم تذكر CISA أو GitLab في مصادرها المعلنة أي تفاصيل تربط إدراج الثغرة بهذه الحادثة تحديداً.
نشرت Cisco نشرتها الأمنية الخاصة بثغرتها في 28 أكتوبر 2026، موضحة أنها تتمثل في خلل منطقي ضمن خدمة VPN للوصول عن بعد عبر SSL في برمجيتي ASA وFTD عند ضبط مصادقة ثانوية على مجموعة نفق. يتيح الخلل لمهاجم عن بعد دون مصادقة إعادة تشغيل الجهاز وإحداث حجب للخدمة. وعلم فريق الاستجابة لحوادث أمن المنتجات (PSIRT) في الشركة بوجود استغلال فعلي للثغرة في أكتوبر، دون الإعلان عن هوية المهاجمين أو عدد الجهات المستهدفة.
يشترط لتأثر الجهاز تشغيل إصدار غير مصلح، وإتاحة خدمة تسجيل الدخول لـ SSL VPN، وضبط المصادقة الثانوية في نطاق مجموعة النفق. حددت النشرة الإصدارات المصلحة لكل فرع، ومن ضمنها ASA 9.18.4.96 وFTD 7.4.9. وأكدت Cisco غياب أي حل مؤقت يعالج الثغرة، واقترحت تخفيفاً يتمثل في تعطيل قائمة مجموعات النفق إذا كانت المجموعة الافتراضية DefaultWEBVPNGroup لا تستخدم مصادقة ثانوية، أو إزالة المصادقة الثانوية منها في حال استخدامها. وذكرت أن Cloud-delivered Firewall وcdFMC وSecure Access وSecure FMC غير متأثرة.
أظهر الفهرس عدم وجود معلومات حول استخدام أي من الثغرتين في هجمات الفدية حتى الآن. وتخلو صفحة تنبيه CISA من تفاصيل إضافية عن آليات الاستغلال أو الفاعلين، لتقتصر دلالة الاستغلال على الإدراج الرسمي في الفهرس وإعلان Cisco.
