GitLab 10,0 sob ataque, Alpine Linux refaz servidor e Cisco cai por DoS: o dia da borda exposta

GitLab 10,0 sob ataque, Alpine Linux refaz servidor e Cisco cai por DoS: as 24 horas da borda exposta

A janela entre a noite de 30 de outubro e a manhã de 2 de novembro de 2026 entregou um retrato desconfortável do modelo de defesa atual: quase todos os incidentes relevantes ocorreram na borda , em sistemas que existem justamente para permitir acesso — VPNs, gateways de desenvolvimento, appliances de suporte remoto. Nenhum dos alvos era um endpoint qualquer. Todos eram equipamentos que, quando comprometidos, entregam credenciais, sessões e caminhos internos já autenticados.

O resumo do período tem quatro frentes técnicas distintas e uma característica comum: em três delas, a vulnerabilidade entrou no catálogo de vulnerabilidades exploradas (KEV) da CISA em menos de 72 horas após a divulgação, com prazos federais de correção que variam de 3 a 14 dias. Para equipes de TI com ciclo de patch trimestral, o recado é direto: a janela de exposição real passou a ser medida em horas.

GitLab CVE-2026-97229: nota 10,0, exploração real e uma distribuição Linux no centro do incidente

A CVE-2026-97229 recebeu CVSS 10,0 — pontuação máxima — e afeta tanto a Community Edition quanto a Enterprise Edition do GitLab. A falha permite execução remota de código e foi adicionada ao KEV na quinta-feira, 29 de outubro, com prazo de correção para agências federais dos EUA em 1º de novembro. É o tipo de item que, em um servidor de código, deve ser tratado como incidente e não como tarefa de manutenção.

O caso mais concreto veio da Alpine Linux. A distribuição confirmou que tentativas de exploração atingiram sua infraestrutura interna de desenvolvimento em outubro e, como resposta, reconstruiu o servidor GitLab e redefiniu as senhas de usuários . Reconstruir — e não apenas corrigir — é a decisão correta quando há suspeita de acesso ao servidor de código, por um motivo simples: um GitLab comprometido transcende o código-fonte.

Por que um GitLab vale mais que o código

Tokens de CI/CD e variáveis protegidas : chaves de nuvem, credenciais de registry e segredos de deploy normalmente ficam ali, em texto claro para o executor.

Runners : acesso a um runner permite executar comandos no ambiente de build, inclusive fora do contêiner, dependendo da configuração.

Chaves de assinatura de pacotes : em uma distribuição Linux, comprometer o gateway de build é o caminho mais curto para a cadeia de suprimentos de software.

Integrações OAuth : o GitLab costuma concentrar conexões com Slack, Jira, clouds e provedores de identidade.

Um invasor que entra nesse servidor não precisa de uma segunda vulnerabilidade para se mover lateralmente: ele usa a confiança legítima da plataforma. Daí a orientação de rotacionar todos os segredos armazenados nas variáveis de CI/CD e revisar os logs de pipelines e de eventos administrativos de outubro, mesmo depois de aplicar a versão corrigida publicada pelo projeto. A ação de mitigação mínima é atualizar para a release corrigida indicada no advisory oficial; a ação completa é tratar a instância como potencialmente comprometida até prova em contrário.

Cisco CVE-2026-76418: um pacote para derrubar a VPN de mais de 51 mil dispositivos

A Cisco divulgou em 28 de outubro a CVE-2026-76418, falha de alta severidade no processamento de SSL VPN de firewalls Secure Firewall ASA e FTD . O vetor é de negação de serviço, sem autenticação, acessível remotamente: qualquer pessoa na internet consegue derrubar o serviço em dispositivos vulneráveis, o que significa perda total de conectividade remota para quem depende da VPN do equipamento afetado.

Segundo a telemetria divulgada, a exploração começou ainda em outubro e há mais de 51 mil dispositivos com a interface de VPN exposta. O detalhe mais importante não é a severidade — DoS raramente encabeça listas de risco — e sim o efeito operacional real:

Uma VPN derrubada interrompe trabalho remoto, acesso a ERPs e sessões de administração, podendo inviabilizar a própria aplicação do patch.

A indisponibilidade recorrente pode ser usada como cortina de fumaça : enquanto a equipe apaga incêndio na borda, a atenção sai de outros ativos e de logs de autenticação.

Reinícios automáticos de appliance, em ambientes com alta disponibilidade mal configurada, transformam o vetor em flapping contínuo.

Mitigação: aplicar a atualização do IOS-XE/ASA indicada pela Cisco, restringir a interface de VPN a geografias e faixas necessárias, e monitorar quedas anormais do processo de VPN correlacionadas a picos de handshake TLS vindos de IPs distintos.

Ivanti Connect Secure: dois bugs encadeados até root, sem credenciais

A CISA também incluiu no KEV duas falhas do Ivanti Connect Secure exploradas em conjunto, encadeadas para obter acesso root não autenticado no appliance. É um padrão repetido no histórico do produto — em 2024, o encadeamento de CVE-2023-46805 com CVE-2024-21887 produziu exatamente esse efeito — e deveria mudar a postura de quem opera o equipamento.

Appliance de VPN de terceiros não é apenas patch: é integridade. Implantes plantados por cadeias de autenticação bypass costumam sobreviver à atualização, porque vivem em partições persistentes e hooks de boot. A recomendação é aplicar a versão corrigida, rodar a ferramenta de verificação de integridade do fabricante, executar reset de fábrica quando houver indicação de comprometimento e revogar todas as credenciais e sessões emitidas pelo dispositivo antes do incidente.

Oracle PeopleSoft CVE-2026-35273: o patch que não expulsa o invasor

O caso da CVE-2026-35273 é o mais didático da rodada. A Oracle tratou a falha do PeopleSoft como um único bug no alerta de segurança publicado em junho. Um pesquisador do Zero Day Initiative contesta: na avaliação dele, três vulnerabilidades foram reportadas e apenas uma recebeu identificação. A diferença não é semântica — significa que parte da superfície corrigida pode ser outra coisa.

A Mandiant reportou que o grupo ShinyHunters explorou a janela e plantou web shells em dezenas de sistemas PeopleSoft. O ponto central, e que vale para qualquer equipe: aplicar o patch fecha o vetor de entrada, mas não remove o que o atacante já instalou. Contenção exige caça a web shells em diretórios de aplicação, revisão de contas criadas no período, integridade de arquivos em servidores web e análise de comandos executados pelo usuário do serviço.

BeyondTrust Remote Support: gravação de arquivo sem autenticação e execução de código

A Rapid7 detalhou uma falha de validação de origem no BeyondTrust Remote Support que permite a um atacante não autenticado gravar arquivos e executar código arbitrário em appliances corporativos vulneráveis. Appliances de suporte remoto são alvos de altíssimo valor: ficam na internet por necessidade de negócio, concentram sessões privilegiadas e, em muitos desenhos, guardam credenciais de acesso a servidores internos.

Quem opera esse tipo de equipamento deve tratar a atualização como prioridade máxima, restringir a exposição pública ao mínimo necessário, revisar o histórico de sessões remotas e auditar criações de arquivos e processos fora do padrão no appliance.

Análise: a borda virou o gargalo de tempo, não só de arquitetura

Três conclusões se repetem nos quatro casos.

A KEV funciona como agenda de atacantes. Quando um item entra no catálogo, o número de tentativas cresce em horas. Publicar o prazo federal também publica a data-limite para quem explora.

Patch não é remediação. PeopleSoft e o episódio da Alpine Linux mostram o mesmo padrão: corrigir o código sem investigar persistência deixa o invasor dentro.

A concentração de confiança é o ativo real. GitLab, VPNs e appliances de suporte remoto não são ativos de dados; são ativos de confiança. Comprometer um deles é herdar o privilégio de todos os que confiam nele.

Checklist para as próximas 72 horas

Inventariar versões de GitLab (CE/EE), Cisco ASA/FTD, Ivanti Connect Secure, PeopleSoft e BeyondTrust Remote Support expostos à internet.

Aplicar as versões corrigidas dos advisories oficiais e registrar quem executou a atualização, com data.

Rotacionar segredos de CI/CD, tokens de API e credenciais armazenadas nas plataformas afetadas.

Revogar sessões e certificados emitidos por appliances de VPN antes da correção.

Caçar web shells e arquivos novos em diretórios de aplicação web e revisar contas criadas no último trimestre.

Restringir a exposição pública de interfaces de administração por allowlist de IP.

Aumentar a retenção de logs de autenticação e de pipelines para 90 dias, no mínimo.

Conclusão

As últimas 24 horas não trouxeram um zero-day exótico: trouxeram quatro falhas em produtos conhecidos, com exploits em circulação e prazos curtos. A diferença entre um incidente contido e um comprometimento prolongado, em todos os casos, foi a mesma — quem tratou o patch como começo da investigação, e não como fim do problema.

Se este levantamento ajuda sua equipe, compartilhe com quem assina as mudanças de firewall e de CI/CD na sua organização: é provável que seja a mesma pessoa que precisa agir nas próximas 72 horas. E assine nossa newsletter para receber o giro diário de cibersegurança antes do primeiro café.

Fontes