Ing. Calogero Bono
12 Ekim 2026'da GitLab, Community Edition ve Enterprise Edition için 19.4.2, 19.3.5 ve 19.2.8 sürümlerini yayımladı. Bu sürümlerde CVSS puanı 10.0 olan ve sunucuda rastgele kod çalıştırılmasına yol açabilen CVE-2026-97229 açığının düzeltmesi var. Perşembe günü ABD merkezli CISA, aktif sömürü olduğunu doğruladı ve açığı KEV kataloğuna ekledi. Kendi GitLab örneğini yönetiyorsan işin önceliği hemen güncellemek.
Olayların detayına girmeden önce birkaç terim. CVE, herkese açık bir güvenlik açığını tanımlayan koddur. CVSS, 0 ile 10 arasında bir ciddiyet puanıdır. CI/CD, kodu derleyip test eden ve yayımlayan otomatik hat anlamına gelir. KEV, CISA'nın gerçek saldırılarda zaten sömürülmüş açıkların listesidir. RCE ise uzaktan kod çalıştırma demektir, yani başkasının sunucusunda komut çalıştırmak.
CVE-2026-97229 nedir?
GitLab'in resmi sayfasına göre bu, CI/CD yapılandırmalarında kullanılan düzenli ifade derleyicisindeki bir tam sayı taşması (integer overflow) sorunu. Belirli koşullarda kimlik doğrulaması yapılmamış bir kullanıcı, özenle hazırlanmış bir düzenli ifadeyle sunucuda rastgele kod çalıştırabiliyordu. Sebep yetersiz doğrulamaydı.
CVSS vektörü ağ üzerinden erişim, düşük karmaşıklık, ayrıcalık gerektirmeme ve kullanıcı etkileşimi gerektirmeme anlamına geliyor. Puanın 10.0'a çıkmasının nedeni bu. Açığı, HackerOne üzerindeki bug bounty programı aracılığıyla joaxcar bildirdi.
Bu açığı kim sömürüyor?
BleepingComputer'ın aktardığına göre CISA açığı KEV listesine ekledi ve federal kurumlardan sunucularını pazar gününe kadar güvenceye almalarını istedi. The Hacker News'e göre sivil kurumlar için son tarih 1 Kasım 2026.
Listeye ekleme, Alpine Linux'un duyurduğu bir olayla bağlantılı. Kimliği belirsiz bir saldırgan, 20 ve 21 Ekim 2026'da Alpine'in örneğinde açığı kullanmayı denedi ama başarılı olamadı. Özel hazırlanmış CI yapılandırmaları gönderdi ve worker süreçlerini sekiz kez çökertti. Bu denemelerin dördünde istismar bir sonraki adımda başarısız oldu. Saldırgan ayrıca Alpine'in GitLab konteyner imajını indirdi. 25 ve 26 Ekim'deki yeni denemeler engellendi.
Alpine'in bakımcıları «The attack came close to working» dedi. Başarılı olduğuna dair bir kanıt bulamadıklarını, ama bunu tamamen dışlayamadıklarını ekleyip örneği sıfırdan yeniden kurdular. Bakımcılara göre aports deposu, paketler ve 21 Ekim'deki sürümler kurcalanmadı.
Hangi sürümler etkileniyor?
GitLab, CVE-2026-97229 için 19.2'nin 19.2.8'den önceki, 19.3'ün 19.3.5'ten önceki ve 19.4'ün 19.4.2'den önceki tüm sürümlerini etkilenen olarak gösteriyor. GitLab.com zaten düzeltilmiş sürümü kullanıyor. GitLab Dedicated kiracıları, yayımlanmadan önce dahili bir sürümle güncellendi.
GitLab ayrıca 19.3.4 sürümünde, Ona entegrasyonu etkinken birleştirme isteklerinin sayfalarında bir hata olduğunu belirtiyor. Bu hata 19.3.5'te giderildi. Şirket, kendi sunucusunu barındıranların denemeleri fark etmesi için altı tehdit tespit kuralı da yayımladı.
Aynı yamadaki diğer açıklar
Sürüm yalnızca en ağır vakayı içermiyor. Diğer düzeltmeler, GitLab'in açıkladığı puanlarla birlikte şöyle –
- CVE-2026-92883, sözdizimi vurgulamasında cross-site scripting, CVSS 8.7.
- CVE-2026-16301, Developer rolündeki bir kullanıcı korumalı dallarda pipeline başlatabiliyordu, CVSS 8.5.
- CVE-2026-14814, ham dosya önbelleğinin zehirlenmesi, korumalı değişkenlerin açığa çıkma ihtimaliyle, CVSS 8.2.
- CVE-2026-81839, bir proje devredildikten sonra pipeline'lar yeni grubun ayrıcalıklarıyla çalışıyordu (yalnızca EE), CVSS 7.7.
- CVE-2026-96893, GitLab Duo yapay zeka ajanlarının talimatlarına enjeksiyon (yalnızca EE), CVSS 7.3.
Ayrıca GraphQL üzerinden gizli notların okunması ve GitLab Pages günlüklerinde token sızması gibi beş orta şiddette açık daha var. Tam liste resmi sayfada.
Bilmen gereken sınırlar
Kaç örneğin ele geçirildiğini bilmiyoruz. BleepingComputer'ın andığı Shadowserver, internete açık yaklaşık 2.800 Community Edition örneği izliyor, ama bunların kaçının güncellendiğini belirtmiyor. Bu sayıyı savunmasız sistem sayısı gibi okumamak gerekiyor.
Kaynaklarda saldırganın kim olduğu ve Alpine dışında başka vaka olup olmadığı belli değil. Sömürünün teknik ayrıntısı yayımlanmadı. GitLab, yama çıktıktan 90 gün sonra güvenlik raporlarını kamuya açıyor, dolayısıyla yeni ayrıntılar gelebilir.
Dijital işlerle uğraşanlar için ne değişiyor
Şirketin ya da çalışmanın için kendi sunucunda GitLab çalıştırıyorsan öncelik sürüm. Kod, sırlar ve pipeline'lar içeren bir sunucuda kimlik doğrulaması gerektirmeyen bir açık, müşterileri de etkileyebilecek somut bir risk. Deponu GitLab.com üzerinde barındıranlar ise platform tarafında zaten korunuyor.
Alpine'in dersi pratik. Ele geçirilme ihtimalini dışlayamıyorsan sunucuyu yeniden kur ve sırları döndür. Kurulumları otomatikleştirmek bu işi kolaylaştırır. Bunu, Ansible ile yapılandırma ve deploy rehberimizde anlattık. Sunucularda güncelleme disiplini de şart. Bunu Fragnesia ve PHP2Shell vakasında ele aldık. Yamadan sonra taramaların yapıldığı bir başka yakın örnek Oracle E-Business Suite. Her şeyi takip edecek vaktin yoksa, güvenlik güncellemeleri yapılan yönetilen hosting ve sunucu seçeneklerine de bakabilirsin.
Bizim değerlendirmemiz
Olay, yama ile saldırı arasındaki sürenin ne kadar kısa olabildiğini gösteriyor. Düzeltme 12 Ekim'de yayımlandı, Alpine'deki denemeler 20 Ekim'de başladı. Yani sekiz gün. Bir sonraki aylık döngüye kadar bekleyen herkes zamanı çoktan kaçırmış olur.
Bir eleştiri de var. GitLab'in Fortune 100 şirketlerinin yarısından fazlasında kullanıldığı belirtiliyor. BleepingComputer ise aynı dönemde en yüksek şiddetli açıkların uzun bir listesini veriyor, bunların ikisi de en yüksek şiddette. Şirketlerin kodunu ve sırlarını tutan bir hizmet için bu sıklık ağır basıyor. GitLab'in açıkları hızlı kapattığını söylemek tek başına yetmiyor, gerçi hızlı kapatıyor da. Her şeyi kendi içinde tutmaya karar verenler sürekli bir izleme yükünü hesaba katmalı ya da bu işi bunu meslek edinmiş birine bırakmalı.
Sık sorulan sorular
GitLab'i hemen güncellemem gerekir mi?
Evet, örneğin self-managed ise ve belirtilen sürümlerdeyse. GitLab, 19.4.2, 19.3.5 veya 19.2.8 sürümlerine hemen geçilmesini öneriyor. Aktif sömürü CISA tarafından doğrulandı.
GitLab.com risk altında mı?
GitLab'e göre hayır. GitLab.com zaten düzeltilmiş sürümü kullanıyor, Dedicated kiracıları da genel sürümden önce güncellendi.
Açığı sömürmek için hesap gerekir mi?
Hayır. CVSS vektörü, ayrıcalık gerekmediğini ve kullanıcı etkileşimi olmadığını gösteriyor. Saldırı, özenle hazırlanmış bir CI/CD yapılandırmasıyla gerçekleşiyor.
Saldırıya uğrayıp uğramadığımı nasıl anlarım?
Kaynaklarda kesin bir yöntem yok. GitLab, self-managed örnekler için altı tespit kuralı yayımladı. Alpine ise olağandışı CI yapılandırmalarından sonra worker süreçlerinin tekrar tekrar çöktüğünü gözlemledi.
Sadece güncellemek yeterli mi?
Duruma bağlı. Örnek son günlerde açıkta ve yamasızsa ele geçirilmiş olma ihtimalini dışlayamazsın. Alpine, sunucuyu sıfırdan kurmayı tercih etti.
Önümüzdeki haftalarda yama ve kontroller için nelere bakmalı
Önümüzdeki günlerde Alpine dışında başka vaka çıkıp çıkmadığını ve teknik ayrıntıların yayımlanıp yayımlanmayacağını takip etmek önemli. Üç öneri var.
- Kullandığın dal için en son sürüme geç ve kurulumdan sonra sürüm numarasını kontrol et.
- Worker günlüklerinde tekrarlayan çökmeleri ve olağandışı CI yapılandırmalarını GitLab'in tespit kurallarıyla tara.
- Örnek açıktaysa ve güncel değilse token'ları ve korumalı değişkenleri döndür, sunucuyu yeniden kurmayı değerlendir.
