GitLab'da 10 puanlı açık giriş yapmadan sunucuda kod çalıştırmaya izin veriyor, 2014'ten bu yana bütün sürümler etkileniyor

Yazılım geliştirme ekiplerinin kodlarını ve projelerini yönettiği GitLab, 21 Ekim’de CVE-2026-110264 numaralı açığı kapatan güncellemeler yayımladı. Açığın CVSS 3.1 puanı en yüksek değer olan 10. GitLab’ın açıklamasına göre açık, belirli koşullarda giriş yapmamış bir kullanıcının GitLab sunucusunda istediği kodu çalıştırmasına izin veriyor. GitLab bu koşulların ne olduğunu açıklamadı.

Açık, GitLab’ın özel hazırlanmış bir düzenli ifadeyi (regular expression) derlerken oluşan bir tamsayı taşmasından kaynaklanıyor. The Hacker News’in aktardığına göre hata, Ruby’nin yerleşik düzenli ifade motoru Onigmo’da. GitLab bu motoru kendi paketlerinin içinde dağıttığı için açık, 2014’te yayımlanan 7.0’dan bu yana bütün GitLab sürümlerinde bulunuyor.

Yalnızca kendi sunucusunda GitLab çalıştıranların işlem yapması gerekiyor. GitLab.com zaten düzeltilmiş sürümde çalışıyor. GitLab Dedicated müşterilerinden 19.3.5-internal0 ve 19.4.2-internal0 ya da daha yeni iç sürümlerde olanlar da korunuyor. GitLab, açığın saldırılarda kullanıldığına dair bir işaret olmadığını belirtiyor. Açık, CISA’nın saldırılarda kullanılan açıklar listesi KEV’de de yer almıyor.

12 Ekim’de güncelleyenler de yeniden güncellemeli

Bu açık, aynı araştırmacının bir ay içinde GitLab’ın düzenli ifade motorunda bildirdiği dördüncü kod çalıştırma açığı. GitLab 12 Ekim’de, yine 10 puanlı ve giriş gerektirmeyen CVE-2026-97229’u 19.2.8, 19.3.5 ve 19.4.2 sürümleriyle kapatmıştı. Yeni düzeltmeler bu sürümlerin bir üstünde. Bu yüzden 12 Ekim’de güncelleme yapmış bir sunucu da yeniden risk altında. Önceki açıklar yalnızca 19.2 ve sonrasını etkiliyordu, bu açık ise çok daha eski sürümlere uzanıyor.

Etkilenen ve düzeltilmiş sürümler

• 19.5 sürümleri: 19.5.1 öncesi, düzeltilmiş sürüm 19.5.1
• 19.4 sürümleri: 19.4.3 öncesi, düzeltilmiş sürüm 19.4.3
• 19.3 sürümleri: 19.3.6 öncesi, düzeltilmiş sürüm 19.3.6
• 19.2 sürümleri: 19.2.9 öncesi, düzeltilmiş sürüm 19.2.9
• 19.1 sürümleri: 19.1.9 öncesi, düzeltilmiş sürüm 19.1.9
• 19.0 sürümleri: 19.0.10 öncesi, düzeltilmiş sürüm 19.0.10
• 7.0 ile 18.11 arası sürümler: 18.11.13 öncesi, düzeltilmiş sürüm 18.11.13

GitLab normalde yalnızca son üç aylık sürümü (şu an 19.5, 19.4 ve 19.3) güncelliyor. Açığın ciddiyeti nedeniyle düzeltmeyi 19.2, 19.1, 19.0 ve 18.11 dallarına da taşıdı.

Aynı güncellemedeki diğer açıklar

21 Ekim güncellemesi toplam 12 güvenlik açığını kapatıyor: biri kritik, ikisi yüksek, beşi orta ve dördü düşük önem derecesinde. Yüksek önem derecesindeki iki açık kimlik doğrulamayla ilgili:

• CVE-2026-15723 (CVSS 8.2): Yönetici hem SAML hem LDAP otomatik hesap bağlamayı açmışsa, giriş yapmış bir kullanıcının başka bir hesabı ele geçirmesine izin verebiliyor.
• CVE-2026-112212 (CVSS 7.5): OAuth ve OpenID Connect uç noktalarındaki bir önbellek zehirleme açığı, ortak önbellek kullanan kurulumlarda bazı giriş akışlarının saldırganın sunucusuna yönlendirilmesine yol açabiliyor.

Önerilen önlemler

GitLab sunucunuzu kullandığınız dala göre yukarıdaki düzeltilmiş sürüme hemen güncelleyin. GitLab’ın bildiriminde geçici bir önlem yer almıyor ve saldırı koşulları açıklanmadığından, belirli bir ayarla korunduğunuzu varsaymak mümkün değil.

Güncellemeyi planlarken kesinti süresini hesaba katın. 19.4.3 ve 19.3.6 sürümleri güncelleme sırasında çalışan veritabanı değişiklikleri içeriyor. Tek sunuculu kurulumlarda bu işlemler bitene kadar GitLab erişilemez olabilir. Çok sunuculu kurulumlar GitLab’ın kesintisiz güncelleme yöntemini kullanabilir.

GitLab, saldırı girişimlerini aramak için “Onigmo native worker crash” ve “Org mode render error burst” adlı iki tespit kuralı da yayımladı. Kurallar GitLab’ın uygulama kayıtları üzerinde çalışıyor. Sunucunuzu internete açık tutuyorsanız, güncellemeden sonra bu kurallarla geçmiş kayıtlarınızı taramanız iyi olur.