La agencia federal estadounidense agregó dos vulnerabilidades a su catálogo de amenazas activas: una en GitLab que permite ejecución remota de código sin autenticación y otra en firewalls Cisco ya explotada en campo.
La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) incorporó el 31 de octubre dos nuevas vulnerabilidades a su catálogo KEV (Known Exploited Vulnerabilities), el registro oficial de fallas que están siendo aprovechadas por atacantes en la práctica. La más grave es CVE-2026-97229, que afecta GitLab Community Edition y Enterprise Edition con una puntuación CVSS de 10.0 sobre 10 — el nivel máximo de criticidad — y permite a un atacante no autenticado ejecutar código arbitrario en el servidor. La segunda, CVE-2026-76418, compromete los firewalls Cisco Secure ASA y FTD con un puntaje de 8.6, habilitando ataques de denegación de servicio. Ambas tienen en común que ya no son amenazas teóricas: hay evidencia documentada de intentos de explotación en entornos reales.
Cómo una expresión regular mal validada abre la puerta a ejecución remota en GitLab
CVE-2026-97229 es un desbordamiento de enteros (integer overflow) que se origina en la validación débil de expresiones regulares dentro de las configuraciones de pipelines CI/CD de GitLab. El problema reside en que un atacante puede enviar una expresión regular especialmente diseñada a través de un archivo de configuración CI/CD sin necesidad de autenticarse previamente en el sistema. Cuando GitLab procesa esa expresión, el desbordamiento permite ejecutar código arbitrario en el servidor con los privilegios del proceso GitLab.
La falla afecta versiones 19.2 anteriores a 19.2.8, versiones 19.3 anteriores a 19.3.5, y versiones 19.4 anteriores a 19.4.2. GitLab publicó parches para las tres ramas el mismo día que CISA agregó la vulnerabilidad al catálogo KEV. El investigador identificado como joaxcar reportó la falla a través del programa de recompensas HackerOne de GitLab, lo que permitió a la empresa desarrollar las correcciones antes de que la explotación se generalizara.
El primer intento de explotación documentado — y por qué falló
Alpine Linux reportó que un atacante no identificado intentó explotar CVE-2026-97229 contra su infraestructura los días 20 y 21 de octubre de 2026. Los intentos no tuvieron éxito, pero confirman que la vulnerabilidad ya está siendo testeada activamente en internet apenas días después de su divulgación pública. Que el ataque fallara no reduce la gravedad del problema: indica que hay actores rastreando instancias GitLab vulnerables y probando vectores de explotación en producción.
La ventana entre la publicación del parche y la explotación masiva suele medirse en horas para vulnerabilidades con puntaje CVSS 10.0 y vectores de ataque remotos sin autenticación. GitLab es una pieza central en la cadena de desarrollo de software de miles de organizaciones — comprometerla equivale a comprometer el código fuente, las credenciales de despliegue y los secretos almacenados en variables CI/CD. En América Latina, donde empresas fintech, de e-commerce y gobiernos digitales dependen de GitLab autoalojado para gestionar repositorios privados, la exposición es directa: cualquier instancia sin parchear en versiones 19.2 a 19.4 es un punto de entrada viable para un atacante remoto.
Cisco confirma explotación activa de falla en firewalls ASA y FTD — sin detalles sobre los atacantes
CVE-2026-76418 es una vulnerabilidad de desreferencia de puntero nulo (NULL pointer dereference) que afecta Cisco Secure Firewall ASA Software y Cisco Secure FTD Software. Un atacante remoto no autenticado puede enviar paquetes especialmente diseñados que fuerzan al dispositivo a reiniciarse, causando una denegación de servicio. Cisco informó que detectó explotación activa de esta falla a principios de octubre de 2026, pero no divulgó quién está detrás de los ataques, cuántas organizaciones fueron afectadas ni qué acciones posteriores realizaron los atacantes después de provocar la caída de los firewalls.
La falta de detalles públicos sobre la campaña de explotación es habitual en casos donde el fabricante está trabajando con agencias de inteligencia o donde la divulgación completa podría comprometer investigaciones en curso. Lo que sí está confirmado es que la vulnerabilidad está siendo aprovechada en campo, lo que justifica su inclusión en el catálogo KEV y la orden de CISA a agencias federales de aplicar parches antes del 1 de noviembre de 2026.
Por qué el catálogo KEV de CISA es un indicador adelantado para América Latina
El catálogo KEV de CISA no es una lista de vulnerabilidades graves en abstracto — es un registro de fallas que están siendo explotadas activamente en la práctica, confirmadas por telemetría de incidentes reales. Cuando CISA agrega una vulnerabilidad al KEV, está señalando que hay actores (criminales, estatales o ambos) que ya tienen exploits funcionales y los están usando contra objetivos reales. La directiva BOD 22-01 obliga a agencias federales estadounidenses a corregir estas fallas en plazos perentorios — en este caso, antes del 1 de noviembre de 2026 — pero la recomendación de CISA es que organizaciones privadas también traten el catálogo como referencia prioritaria para parcheo.
Para América Latina, el catálogo KEV funciona como un indicador adelantado: las mismas vulnerabilidades que están siendo explotadas contra infraestructura estadounidense suelen aparecer semanas después en campañas dirigidas a la región, especialmente cuando afectan tecnologías ampliamente desplegadas como GitLab o firewalls Cisco. Brasil, México, Argentina y Chile tienen sectores financieros, de salud y gubernamentales que dependen de estas plataformas. La diferencia es que muchas organizaciones en la región operan con ciclos de parcheo más lentos y equipos de seguridad más pequeños, lo que extiende la ventana de exposición.
Nuestro análisis
La combinación de CVE-2026-97229 y CVE-2026-76418 en el mismo ciclo de actualización del catálogo KEV revela un patrón que ya vimos en 2025 con vulnerabilidades en Ivanti, Fortinet y Palo Alto: los atacantes están priorizando fallas que permiten acceso remoto sin autenticación en infraestructura crítica de desarrollo y perímetro de red. GitLab es especialmente valioso porque comprometerlo no solo da acceso al código fuente — también expone secretos, tokens de API, credenciales de despliegue y, en muchos casos, acceso lateral a entornos de producción a través de runners CI/CD mal segmentados. Que Alpine Linux haya detectado intentos de explotación apenas dos días después de la divulgación pública confirma que hay actores escaneando internet en busca de instancias vulnerables con la misma velocidad con que se publican los parches.
Lo que todavía no sabemos es si los intentos contra Alpine Linux son parte de una campaña más amplia o pruebas aisladas de un actor oportunista. Tampoco tenemos visibilidad sobre cuántas instancias GitLab en América Latina están ejecutando versiones 19.2 a 19.4 sin parchear — pero dado que muchas organizaciones en la región priorizan estabilidad sobre actualizaciones frecuentes, es razonable asumir que hay exposición significativa. En el caso de Cisco, la ausencia de detalles sobre la campaña de explotación de CVE-2026-76418 deja abierta la pregunta de si los ataques fueron dirigidos a objetivos específicos o parte de un escaneo masivo. ¿Cuántas organizaciones en la región están monitoreando activamente el catálogo KEV de CISA como señal de priorización de parcheo, y cuántas esperan a que un incidente local confirme la amenaza?