2026-11-04 00:59:10 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

KEV 一日三弹：三个在野漏洞卡着 11 月 1 日大限

宝十八
宝十八

网络安全老宋

2026年11月2日 12:00
山东

去阅读

导语： 你好，我是网络安全老宋。安全攻防干货准时送达！

网络安全老宋// 漏洞预警 · 在野利用

// 漏洞预警 · 在野利用

KEV 一日三弹：三个在野漏洞卡着 11 月 1 日大限

CISA 两天内把三个已被在野利用的高危漏洞塞进 KEV：GitLab 满分 RCE、Linux 内核 Fragnesia 提权、Cisco ASA 远程宕机，联邦机构 11 月 1 日前必须修完。

GitLab 10.0FragnesiaCisco ASA

●一句话精华
补丁不是 11 月 1 日才交的作业，是今天就得动的应急。

10 月 28 到 29 日，CISA 连发两批 KEV（已知被利用漏洞目录）更新，把三个已经被在野利用的高危漏洞一起塞了进去。这不是普通的月度例行更新——三个漏洞分别打在代码托管平台、Linux 内核、边界防火墙这三处企业最依赖的命门上，联邦机构被要求在 11 月 1 日前全部修完。

老宋把这三个洞摆在一起讲，不是因为它们同一天出，而是因为它们的\"杀伤组合\"很典型：一个能远程拿代码执行、一个能把低权限 foothold 提权到 root、一个能直接把你的 VPN 网关打宕机。防守方最该怕的，从来不是单个漏洞，而是这条\"进得来—提得权—瘫得掉\"的链路。

今天这篇，我们按\"每个漏洞单独拆 + 最后给一份统一处置清单\"的结构来。三处受影响的产品很多单位都在用，所以别只看热闹，对着下面的清单一条条过一遍。

▲ 图：CISA 两天内塞进 KEV 的三个在野漏洞，分别卡在代码托管、内核提权、边界网关三条链路上

00一、GitLab CVE-2026-97229：满分 10.0 的 CI/CD 正则 RCE

这是个 CWE-190 整数溢出 / 回绕漏洞（根因是正则表达式校验不足），CVSS 3.1 被 GitLab 自评 10.0 CRITICAL，向量 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H——无需登录、无需交互、影响范围越过组件本身。

触发方式很\"巧\"：攻击者构造一个恶意的 .gitlab-ci.yml（CI/CD 配置），里面塞进一条特制的正则表达式。GitLab 在服务器端编译这条正则时（底层是 Ruby/Onigmo 正则编译器），整数计算发生回绕，进而在 GitLab 服务器上执行任意代码。公开的前置条件（Rapid7）是：把恶意配置提交到一个公开项目，且仓库路径里包含 UTF-8 字符。


分支	受影响版本	修复版本（建议）
19.2	19.2.0 – 19.2.7	19.2.8（建议 ≥ 19.2.9）
19.3	19.3.0 – 19.3.4	19.3.5（建议 ≥ 19.3.6）
19.4	19.4.0 – 19.4.1	19.4.2（建议 ≥ 19.4.3）

来源：GitLab CNA 公告、CISA KEV（2026-10-29 加入，2026-11-01 截止）、NVD CVE-2026-97229、CVE-2026-110264。

在野证据是实打实的：Alpine Linux 在 10 月 20–21 日发现有人探测其未打补丁的 GitLab 实例，发了构造过的 CI 配置，把 worker 进程搞崩了 8 次；10 月 25–26 日的再次尝试被拦下。维护者原话是\"攻击差一点就成功了\"，并已按失陷处理、整台重建。为什么它危险：GitLab 服务器上存着所有托管项目的源码、CI/CD 变量（云密钥、镜像仓库凭据、deploy token），还能触达 runner 及其部署目标——这是软件供应链的一个 foothold，不是一台普通机器。

▲ 图：GitLab RCE 攻击链——恶意 CI/CD 正则触发整数回绕，在服务器上执行任意代码

01二、Linux 内核 CVE-2026-46300「Fragnesia」：把低权限提到 root

这是个 CWE-787 越界写 / CWE-456 变量未初始化 / CWE-123 写任意地址的组合问题，位于内核网络子系统的 skbuff（TCP 合并）与 ESP（IPsec/XFRM ESP-in-TCP）接收路径。CVSS 3.1 = 7.8 HIGH，向量 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H。

机理用大白话讲：内核用 sk\_buff 表示网络包，包的数据可以指向它\"并不拥有\"的页面，比如文件在内存里的副本——页缓存（page cache）。一个标记 SKBFL_SHARED_FRAG 用来标\"这些页是共享的、谁都别往里写\"。但 TCP 接收时的 skb\_try\_coalesce() 在合并包时会把共享页搬过去、却丢了那个标记；随后 ESP 解密会检查这个标记来决定能不能原地解密——标记丢了，ESP 就直接在页缓存页上解密。结果：一个低权限本地用户，能改写它本只能读的文件在内存里的副本，进而改掉系统接下来要执行或当配置读的内容，拿到 root。

为什么\"本地\"反而更可怕：单看 7.8 它只是个本地提权，得先有 foothold。但 CISA 把它加进 KEV 的直接原因，是它成了攻击链的第二棒——和 PHP2Shell（CVE-2026-109618 + CVE-2026-109619，CVSS 9.8）串起来：PHP2Shell 先在外网面 Apache mod\_php 上拿到代码执行（作为 nobody 用户），Fragnesia 再把 nobody 提权到 root。真实战例：Dream Security 披露一个疑似与中国有关的攻击者，用这套链 root 了 25 台服务器（美国、日本、中国台湾、韩国），其中 3 台与一个美国政府关联环境有关，用了约 40 个定制化后渗透脚本；攻击者还从防火墙进一步打进 Active Directory。

修复与临时缓解：CISA 10 月 28 日将其加入 KEV，10 月 31 日截止。装发行版或设备厂商的内核更新；暂时不能重启的，可封锁 esp4、esp6、rxrpc 模块。注意：它改的是页缓存、不是磁盘上的文件，重启会抹掉内核层证据——排查可疑机器前先抓状态、再重启。

▲ 图：PHP2Shell 外网 foothold → Fragnesia 内核提权 → root，改写页缓存拿最高权限

02三、Cisco ASA/FTD CVE-2026-76418：未认证远程把 VPN 网关打宕机

这是个 Remote Access SSL VPN 服务在处理\"隧道组配置了二次认证\"时的逻辑错误（空指针解引用 / 返回值未校验）。CVSS 3.1 = 8.6 HIGH（Cisco 自评），无需认证、远程可达，触发后设备意外 reload，造成拒绝服务。

触发方式：攻击者无需登录 VPN，只要在 SSL 远程接入 VPN 的连接尝试过程中发一个构造过的请求，设备就 reload。前提条件有三：运行受影响版本 + SSL VPN 登录服务可达 + 某个隧道组（含默认 DefaultWEBVPNGroup）配置了 secondary-authentication-server-group。受影响的是 ASA 与 FTD 软件多条训练（train），已发布补丁——ASA 9.16.4.104 / 9.18.4.96 / 9.20.4.50 / 9.22.3.200 / 9.23.1.48 / 9.24.1.27 / 9.24.10.1；FTD 7.0.11 / 7.2.13 / 7.4.9 / 7.6.7 / 7.7.14 / 10.0.3 / 10.1.1。无官方 workaround，但临时可禁用隧道组（或默认组）上的二次认证来降暴露（会削弱 VPN 安全，须自评估）。

为什么它是\"高频目标\"：ASA/FTD 本就是为接受任意来源连接而暴露在互联网上，VPN 集中器天生全网可达。而且这是同一条 SSL VPN 服务约 11 周内的第二个被利用的 reload 漏洞（上一个 CVE-2026-20349 在 8 月）。一个会被反复打到宕机的边界设备，影响的不是单台机器，而是整个远程接入能力和它承载的流量检测路径。在野证据：Cisco PSIRT 称 2026 年 10 月已意识到在野利用，但未点名攻击者、未给 IOC；排查重点是自 10 月以来 unexplained reload、crash 信息、VPN 服务的 syslog 空档——而且因为不需要登录成功，尝试可能不出现在认证事件里。