GitLab, CI/CD Regular Expression Compiler bileşeninde en yüksek önem derecesine sahip kritik bir güvenlik açığı bulunduğu konusunda kullanıcılarını uyardı. Bu açık, uzaktan ve kimliği doğrulanmamış bir saldırganın hedeflenen GitLab sunucusunda rastgele kod yürütmesine olanak tanıyabilir. CVE-2026-97229 numaralı güvenlik açığı, joaxcar takma adını kullanan bir güvenlik araştırmacısı tarafından keşfedildi ve HackerOne hata ödül programı aracılığıyla bildirildi.
Güvenlik açığı nasıl çalışıyor?
Sorun, CI/CD işlem hatlarının yapılandırma dosyalarındaki düzenli ifadeleri analiz eden, derleyen ve değerlendiren bileşen olan düzenli ifade derleyicisindeki tamsayı taşması türünde bir zayıflıkla bağlantılı. GitLab'ın açıklamasına göre, belirli koşullarda düzenli ifadelerin yetersiz doğrulanmasından, CI/CD yapılandırmaları içinde özel olarak hazırlanmış bir ifade aracılığıyla yararlanılabilir. Bu durum, kimliği doğrulanmamış bir kullanıcının GitLab sunucusunda kod yürütmesine olanak tanıyabilir.
Etkilenen sürümler ve güncellemeler
GitLab, sorunu Community Edition ve Enterprise Edition sürümlerinde aşağıdaki sürümlerde giderdi:
- 19.2.8 veya daha yeni sürüm; 19.2.8 öncesi sürümlerin yerine.
- 19.3.4 veya daha yeni sürüm; 19.3.4 öncesi sürümlerin yerine.
- 19.4.2 veya daha yeni sürüm; 19.4.2 öncesi sürümlerin yerine.
Şirket, self-hosted GitLab kurulumlarının tüm kullanıcılarına, hata ve güvenlik açığı düzeltmelerini de içeren bu sürümlerden birine derhal yükseltme yapmalarını öneriyor. GitLab.com hizmeti ise hâlihazırda düzeltilmiş sürüm üzerinde çalışıyor ve şirkete göre GitLab Dedicated müşterilerinin herhangi bir işlem yapmasına gerek bulunmuyor.
Bu haber neden önemli?
Güvenlik açığının önemi, istismarının kimlik doğrulama gerektirmemesinden kaynaklanıyor. Başarılı bir saldırı, CI/CD projelerini ve işlem hatlarını barındıran bir sunucuda kod yürütülmesine yol açabilir. Bu nedenle pratikteki etkilenme kapsamı, mevcut bilgilere göre GitLab'ı kendi bünyesinde yöneten ortamlarla sınırlı; GitLab.com veya GitLab Dedicated kullanıcılarını kapsamıyor.
Bu düzeltme, GitLab'ın son aylarda giderdiği bir dizi güvenlik açığının ardından geldi. Şirket ocak ayında, CVE-2026-0723 numaralı ve iki faktörlü kimlik doğrulamanın atlanmasına olanak tanıyan yüksek önem dereceli bir güvenlik açığını giderdi. Geçen ay ise kimliği doğrulanmamış saldırganların etkilenen sunuculardan kimlik bilgileri ve sırlar da dahil olmak üzere hassas verileri okumasına olanak tanıyan, CVE-2026-85706 numaralı ve en yüksek önem derecesine sahip başka bir güvenlik açığını düzeltti.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2026-85706 güvenlik açığını giderilmesinden bir gün sonra Gerçekten İstismar Edilen Güvenlik Açıkları Kataloğu'na ekledi ve federal kurumlardan sistemlerini üç gün içinde güvence altına almalarını istedi. Yayımlanan bilgilerde ayrıca CISA'nın, Kasım 2021'den bu yana düzenlenen saldırılarda GitLab'daki beş güvenlik açığının istismar edildiğini tespit ettiği belirtildi. Bunlar arasında fidye yazılımı saldırıları düzenleyen gruplar tarafından kullanılan bir güvenlik açığı da bulunuyor.
Kaynak, yeni CVE-2026-97229 güvenlik açığının şu ana kadar fiilen istismar edildiğini doğrulamıyor. Bu nedenle kesinleşen işlem, self-hosted sürümlerin acilen güncellenmesi ve ilgili CI/CD yapılandırmalarının incelenmesi olmaya devam ediyor.