GitLab, sunucularda kimliksiz kod çalıştırmaya izin veren CVSS 10 açığını kapattı

GitLab, 12 Ekim'de yayımladığı 19.4.2, 19.3.4 ve 19.2.8 kritik yama sürümleriyle, kimliği doğrulanmamış bir saldırganın kendi sunucusunda barındırılan GitLab kurulumlarında rastgele kod çalıştırmasına yol açabilecek en yüksek kritiklikteki bir açığı kapattı. CVE-2026-97229 koduyla izlenen ve CVSS ölçeğinde 10,0 puan alan açık, CI/CD hattı yapılandırma dosyalarındaki düzenli ifadeleri derleyen bileşende bulunuyor. Şirket, kendi sunucusunda GitLab çalıştıran tüm kurumların derhal güncelleme yapmasını "kesinlikle" tavsiye ediyor.

Neler oldu?

GitLab'in güvenlik duyurusuna göre CVE-2026-97229, GitLab Community Edition (CE) ve Enterprise Edition'daki (EE) CI/CD Düzenli İfade Derleyicisinde bulunan bir tamsayı taşması sorunu. Şirket, düzenli ifadelerin yeterince doğrulanmaması nedeniyle belirli koşullar altında kimliği doğrulanmamış bir kullanıcının, CI/CD yapılandırmasına özel hazırlanmış bir düzenli ifade yerleştirerek GitLab sunucusunda rastgele kod çalıştırabileceğini belirtiyor. Açık, joaxcar takma adlı araştırmacı tarafından GitLab'in HackerOne hata ödül programı üzerinden bildirildi.

Aynı sürüm toplam 24 açığı kapatıyor. Kritik açığın yanı sıra GitLab'in listesinde dört yüksek önemde sorun yer alıyor: sözdizimi vurgulamadaki bir siteler arası betik çalıştırma (XSS) açığı (CVE-2026-92883, CVSS 8,7), geliştiricilerin korumalı dallarda yetkisiz hat çalıştırmasına imkân veren bir hata (CVE-2026-16301, CVSS 8,5), korumalı CI/CD değişkenlerini riske atabilecek ham depo dosyası yanıtlarında önbellek zehirlenmesi (CVE-2026-14814, CVSS 8,2) ve yalnızca EE'yi etkileyen, proje taşındıktan sonra zamanlanmış hat politikası kayıtlarının kalmasına yol açan bir sorun (CVE-2026-81839, CVSS 7,7). EE'ye özgü bir başka yüksek önemde hata ise yapay zekâ sohbet bağlamındaki temizlenmemiş girdinin istenmeyen ajan komutlarını tetikleyebilmesiyle ilgili.

Kimler etkileniyor?

Kritik açık, kendi sunucusunda çalışan GitLab CE ve EE'nin 19.2.8 öncesi 19.2, 19.3.4 öncesi 19.3 ve 19.4.2 öncesi 19.4 sürümlerini etkiliyor. GitLab'e göre GitLab.com zaten yamalı sürümü kullanıyor, GitLab Dedicated müşterilerinin ise bir işlem yapmasına gerek yok.

BleepingComputer, duyuruda açığın aktif olarak istismar edildiğine dair bir bilgi bulunmadığını aktarıyor. Ancak yayın, GitLab açıklarının daha önce de hedef alındığını hatırlatıyor: CISA, ağustosta duyurulan en yüksek kritiklikteki GitLab dizin geçişi açığı CVE-2026-85706'yı duyurudan bir gün sonra Bilinen İstismar Edilen Açıklar kataloğuna eklemişti. Kasım 2021'den bu yana beş GitLab açığı istismar edilmiş olarak işaretlendi; bunlardan biri fidye yazılımı gruplarınca kullanıldı. GitLab, platformunda 30 milyondan fazla kayıtlı kullanıcı bulunduğunu belirtiyor.

Ne yapmalı?

• Kendi sunucunuzdaki kurulumları en kısa sürede 19.4.2, 19.3.4 veya 19.2.8 ya da aynı daldaki daha yeni bir sürüme yükseltin.
• GitLab, 19.3.4'ün dağıtım sonrası veri taşıma adımları içerdiğini ve tek düğümlü kurulumların güncelleme sırasında kesinti yaşayacağını belirtiyor.
• Şirket ayrıca 19.3.4'te Ona entegrasyonu etkinken birleştirme isteği sayfalarını etkileyen bilinen bir sorun olduğunu, düzeltmenin 19.3.5'te geleceğini duyurdu.
• Yama uygulanana kadar CI/CD yapılandırmasını değiştirebilecek kullanıcıları sınırlamak ve son hat yapılandırması değişikliklerini olağandışı düzenli ifadeler açısından gözden geçirmek faydalı olacaktır.