GitLab'daki en yüksek puanlı açık, giriş yapmamış birinin sunucuda kod çalıştırmasına izin veriyor

GitLab, kod barındırma ve yazılım geliştirme platformunun kendi sunucularında kurulu Community ve Enterprise sürümlerinde, CVSS ölçeğindeki en yüksek puanı alan bir açığı kapattı. CVE-2026-97229 numaralı açık, platformun düzenli ifadeleri (regex) işleyen bileşenindeki bir tamsayı taşması hatasından kaynaklanıyor. GitLab’a göre belirli koşullarda kimliği doğrulanmamış bir kullanıcı, CI/CD yapılandırmasına yerleştirdiği özel hazırlanmış bir düzenli ifadeyle GitLab sunucusunda uzaktan kod çalıştırabiliyor. CVSS 3.1 puanı 10.

GitLab sunucuları, kurumların kaynak kodunu, CI/CD süreçlerindeki gizli anahtarları ve dağıtım bilgilerini barındırdığı için ele geçirildiklerinde etkisi tek bir sunucuyla sınırlı kalmıyor. Kaynak koda zararlı kod eklenmesi, yazılımı kullanan herkesi etkileyen bir tedarik zinciri saldırısına dönüşebiliyor.

Aynı güncelleme yüksek önemde üç açığı daha kapatıyor. CVE-2026-92883 (CVSS 8.7), özel hazırlanmış bir depo üzerinden başka kullanıcıların oturumlarını etkileyen kalıcı bir XSS açığı. CVE-2026-16301 (8.5), Developer rolündeki bir kullanıcının korumalı dallarda işlem hattı çalıştırmasına izin veriyor. CVE-2026-14814 (8.2) ise önbelleğe alınan dosya yanıtlarının zehirlenmesine ve korumalı ortam değişkenlerinin açığa çıkmasına yol açabiliyor. Açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen ve düzeltilmiş sürümler

• 19.2 serisi: 19.2.8 öncesi etkileniyor, düzeltme 19.2.8
• 19.3 serisi: 19.3.5 öncesi etkileniyor, düzeltme 19.3.5
• 19.4 serisi: 19.4.2 öncesi etkileniyor, düzeltme 19.4.2

Önerilen önlemler

Kendi sunucusunda GitLab çalıştıran kurumların kullandıkları seriye göre yukarıdaki sürümlere ya da daha yenisine geçmesi gerekiyor. İnternete açık GitLab sunucularında, güncellemeden önceki dönemde beklenmedik CI/CD yapılandırma değişiklikleri ve işlem hatları gözden geçirilmeli.