CISA, GitLab ve Cisco Güvenlik Açıklarını Aktif Sömürü Listesine Aldı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Cisco ve GitLab yazılımlarını etkileyen iki kritik güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Ajans, her iki açık için de aktif sömürü kanıtlarının varlığını gerekçe olarak gösterdi. Federal kurumların 1 Kasım 2026 tarihine kadar ilgili yamaları uygulaması zorunlu tutuldu.

Listelenen İki Güvenlik Açığı​

KEV kataloğuna eklenen açıklardan ilki, CVE-2026-97229 kodu ve 10.0 CVSS puanıyla sınıflandırılan GitLab Community Edition ve Enterprise Edition'ı etkileyen bir açıktır. Yetersiz düzenli ifade doğrulamasından kaynaklanan bu tam puanlı açık, kimliği doğrulanmamış bir kullanıcının CI/CD yapılandırmasındaki özel olarak hazırlanmış bir düzenli ifade aracılığıyla GitLab sunucusunda rastgele kod yürütmesine olanak tanıyor. Açığın CVSS puanının 10.0 olması, olası en yüksek kritiklik düzeyine işaret ediyor.
İkinci açık ise CVE-2026-76418 kodu ve 8.6 CVSS puanıyla kayıt altına alınan Cisco Secure Firewall Adaptive Security Appliance (ASA) Yazılımı ve Secure Firewall Threat Defense (FTD) Yazılımını etkileyen bir zafiyettir. NULL işaretçi başvurusu güvenlik açığı olarak nitelendirilen bu sorun, kimliği doğrulanmamış ve uzaktaki bir saldırganın cihazın beklenmedik biçimde yeniden başlatılmasına yol açarak hizmet engelleme (DoS) koşulu oluşturmasına imkân veriyor.

Cisco'nun Açıklaması ve Bilinen Saldırı Detayları​

Cisco, CVE-2026-76418 açığının bu ay aktif olarak istismar edildiğini fark ettiğini açıkladı. Şirket, saldırıları gerçekleştirenleri kamuoyuyla paylaşmadı; hedef alınan kurum sayısı ve saldırganların ilk erişimi elde ettikten sonra ne gibi eylemler gerçekleştirdiği de henüz kamuoyuna duyurulmadı.
GitLab açığına ilişkin gelişme ise Alpine Linux'un kamuoyuyla paylaştığı bir güvenlik olayından kaynaklanıyor. Bilinmeyen bir tehdit aktörü, 20 ve 21 Ekim 2026 tarihlerinde Alpine Linux'un GitLab örneğini hedef alarak CVE-2026-97229 açığını istismar etmeye çalıştı. Saldırgan, yama uygulanmamış bir GitLab örneğine özel olarak hazırlanmış CI yapılandırmaları göndererek GitLab işçi süreçlerinin sekiz kez çökmesine neden oldu. Bu çökmelerin dördünde saldırı, bir sonraki adımda başarısız oldu. Tehdit aktörü aynı zamanda Alpine Linux'un GitLab konteyner imajını da indirdi.

Alpine Linux'un Müdahalesi ve Sonraki Saldırı Girişimleri​

25 ve 26 Ekim 2026 tarihlerinde saldırganın sisteme yeniden erişim sağlamaya yönelik girişimleri engellendi. Alpine Linux yöneticileri konuya ilişkin yaptıkları açıklamada, saldırının başarıya çok yaklaştığını vurguladı. Yöneticiler, saldırının başarıya ulaştığına dair bir kanıt bulunamadığını ancak bunu kesinlikle dışlayamadıklarını belirterek örneği güvenliği ihlal edilmiş olarak kabul ettiklerini ve sıfırdan yeniden oluşturduklarını açıkladı. Yapılan kontroller sonucunda aports deposunun, paketlerin ve 21 Ekim sürümlerinin kurcalanmadığı tespit edildi.

Federal Kurumlar İçin Yama Zorunluluğu​

CISA, aktif istismar bulgularını göz önünde bulundurarak Federal Sivil Yürütme Organı (FCEB) kurumlarına her iki açık için de yamaları 1 Kasım 2026 tarihine kadar uygulamaları yönünde tavsiyede bulundu. KEV kataloğuna ekleme, federal kurumlar için yasal bir yükümlülük niteliği taşıyor; bu nedenle söz konusu açıkların kapatılması zorunluluk haline gelmiş durumda.

Sıkça Sorulan Sorular​

CISA'nın KEV kataloğu nedir ve ne işe yarar?​

CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğu, aktif sömürü kanıtı bulunan güvenlik açıklarını listeleyen resmi bir veritabanıdır. Federal Sivil Yürütme Organı kurumları, katalogda yer alan açıklar için belirtilen süreler içinde yama uygulamakla yasal olarak yükümlüdür.

GitLab açığı CVE-2026-97229 nasıl çalışıyor?​

Bu açık, GitLab Community Edition ve Enterprise Edition'daki yetersiz düzenli ifade doğrulamasından kaynaklanıyor. Kimliği doğrulanmamış bir kullanıcı, CI/CD yapılandırmasına özel olarak hazırlanmış bir düzenli ifade ekleyerek GitLab sunucusunda rastgele kod yürütebiliyor. CVSS puanı 10.0 olan bu açık, olası en yüksek kritiklik düzeyinde değerlendiriliyor.

Alpine Linux'a yönelik saldırı tam olarak nasıl gerçekleşti?​

Bilinmeyen bir tehdit aktörü, 20 ve 21 Ekim 2026 tarihlerinde Alpine Linux'un yama uygulanmamış GitLab örneğine özel CI yapılandırmaları göndererek GitLab işçi süreçlerini sekiz kez çökertti. Çökmelerin dördünde saldırı bir sonraki adımda başarısız oldu. Saldırgan ayrıca Alpine Linux'un GitLab konteyner imajını indirdi. 25-26 Ekim'deki yeniden erişim girişimleri ise engellendi.

Alpine Linux, saldırının başarılı olup olmadığını doğrulayabildi mi?​

Alpine Linux yöneticileri, saldırının başarıya ulaştığına dair herhangi bir kanıt bulamadıklarını açıkladı; ancak bunu kesin olarak dışlayamadıklarını da belirtti. Bu nedenle örneği güvenliği ihlal edilmiş kabul ederek sıfırdan yeniden oluşturdular. Yapılan kontrollerde aports deposunun, paketlerin ve 21 Ekim sürümlerinin kurcalanmadığı tespit edildi.

Cisco güvenlik duvarı açığını (CVE-2026-76418) kimler istismar etti ve kaç kurum etkilendi?​

Cisco, bu açığın aktif olarak istismar edildiğini fark ettiğini duyurdu; ancak saldırıları gerçekleştirenlerin kimliğini, hedef alınan kurum sayısını ve saldırganların ilk erişim sonrasında ne tür eylemler gerçekleştirdiğini kamuoyuyla paylaşmadı.