GitLab, 7.0 sürümüne kadar uzanan CVSS 10 puanlı kod çalıştırma açığını kapattı

GitLab, 21 Ekim 2026'da kendi sunucularında GitLab çalıştıran kurumları doğrudan ilgilendiren kritik bir güncelleme yayımladı. Şirketin duyurusuna göre CVE-2026-110264 kimlikli ve en yüksek önem derecesi olan CVSS 10.0 puanlı açık, kimlik doğrulaması yapılmamış bir kullanıcının sunucuda rastgele kod çalıştırmasına imkân verebiliyor. Sorun, özel olarak hazırlanmış bir düzenli ifadenin (regex) derlenmesi sırasında oluşan tamsayı taşmasından kaynaklanıyor ve 7.0'dan itibaren, yani yaklaşık 12 yıllık tüm sürümleri etkiliyor.

Neler oldu?

GitLab, Community ve Enterprise sürümleri için yedi sürüm hattında aynı anda düzeltme yayımladı: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ve 18.11.13. The Hacker News'ün aktardığına göre bu hatlardan dördü, normalde yalnızca güncel ve önceki iki aylık sürümü kapsayan destek penceresinin dışında kalıyor; şirket düzeltmeyi bu eski sürümlere ciddi sorunlara özgü bir istisnayla taşıdı.

The Hacker News'e göre açık, GitLab'in Ruby'nin yerleşik regex motoru Onigmo'nun kendi yamaladığı kopyasında bulunuyor; bu da zafiyetin 7.0'a kadar uzanmasını açıklıyor. Yayın, açığı joaxcar takma adlı bir araştırmacının bildirdiğini ve bunun aynı araştırmacının yaklaşık bir ay içinde GitLab'in regex motorunda bulduğu dördüncü kod çalıştırma açığı olduğunu yazıyor.

Yeni açık, GitLab'in 12 Ekim'de kapattığı ve aynı derleyicideki kimlik doğrulamasız CVSS 10.0 puanlı CVE-2026-97229'un ardından geldi. The Hacker News'e göre önceki açık yalnızca 19.2 ve sonrasını etkiliyordu; bu nedenle 12 Ekim'de güncelleme yapan yöneticiler de yeni sürümlere geçene kadar risk altında.

Teknik detaylar

GitLab, saldırganın savunmasız derleyiciye ulaşması için gereken koşulları açıklamadı. The Hacker News, bu nedenle yöneticilerin yapılandırma üzerinden etkilenmediklerinden emin olamayacaklarına dikkat çekiyor. Duyuruda geçici bir çözüm de yer almıyor. GitLab, kendi barındırılan kurulumlar için "Onigmo native worker crash" ve "Org mode render error burst" adlı iki tespit kuralı yayımladı.

Güncelleme toplam 11 güvenlik sorununu gideriyor. GitLab'e göre öne çıkan diğer açıklar şunlar:

• CVE-2026-15723 (CVSS 8.2): OmniAuth SAML ve LDAP otomatik bağlama birlikte açıkken oturum açmış bir kullanıcı, LDAP tabanlı mevcut bir hesabı ele geçirebiliyor.
• CVE-2026-112212 (CVSS 7.5): Kimlik doğrulaması olmayan bir kullanıcı, OAuth/OIDC keşif belgelerinin paylaşılan önbelleğini zehirleyerek oturum açma akışlarını harici bir sunucuya yönlendirebiliyor.

Kimler etkileniyor?

Yalnızca kendi barındırılan GitLab kurulumlarının işlem yapması gerekiyor. GitLab.com zaten düzeltilmiş kodu çalıştırıyor; 19.3.5-internal0, 19.4.2-internal0 veya sonrasındaki GitLab Dedicated müşterileri de korunuyor. GitLab istismar belirtisi görmediğini açıkladı; The Hacker News'e göre açık 22 Ekim itibarıyla CISA'nın aktif istismar edilen açıklar kataloğunda (KEV) yer almıyor. Ancak kaynak kod sunucuları genellikle kimlik bilgileri ve CI/CD sırları barındırdığından saldırganlar için cazip hedefler.

Ne yapmalı?

GitLab, tüm kendi barındırılan kurulumların ilgili sürüm hattındaki yamalı sürüme derhal yükseltilmesini öneriyor. 19.4.3 ve 19.3.6 veritabanı geçişleri içerdiğinden tek düğümlü sunucularda geçişler tamamlanana kadar kesinti yaşanacak; çok düğümlü kurulumlar GitLab'in kesintisiz yükseltme prosedürünü izleyebilir. Yöneticilerin yayımlanan iki tespit kuralını devreye alması ve açıklanamayan işçi süreç çökmelerini incelemesi, internete açık kurulumlara öncelik vermesi önerilir.