GitLab'da 12 Yılı Etkileyen Kritik Açık: CVSS 10.0 Yetkisiz RCE Riski

GitLab, 21 Ekim'de self-managed sunucularda oturum açmadan kod çalıştırmaya imkan veren kritik bir güvenlik açığı için düzeltme yayımladı. CVE-2026-110264 olarak takip edilen ve CVSS ölçeğinde en yüksek seviye olan 10.0 puanla derecelendirilen açık, 2014'te yayımlanan 7.0 sürümünden bu yana yazılımın tüm sürümlerini etkiliyor. Şirket, belirli koşullar altında özel olarak hazırlanmış bir düzenli ifadenin derlenmesi sırasında oluşan tamsayı taşması nedeniyle kimliği doğrulanmamış bir kullanıcının sunucuda rastgele kod çalıştırabileceğini açıkladı ancak bu koşulların neler olduğunu paylaşmadı.
Düzeltme, dokuz gün önce güncelleme yapan yöneticiler için de önem taşıyor. GitLab'ın 12 Ekim'de yayımladığı güncelleme yalnızca 19.2 ve sonraki sürümleri kapsıyordu. 21 Ekim'de yayımlanan yeni düzeltilmiş sürümler bir yama numarası daha ileride bulunuyor, bu nedenle 12 Ekim'de güncelleme yapan bir örnek yeniden risk aralığına giriyor. Şirket, açığın saldırılarda kullanıldığına dair bir işaret bulunmadığını ve 22 Ekim itibarıyla ABD CISA'nın bilinen istismar edilen açıklar kataloğunda listelenmediğini bildirdi.

12 Yıllık Tüm Sürümleri Etkileyen Açık Nasıl Ortaya Çıktı​

GitLab'a göre açığın bu kadar geriye gitmesinin nedeni, hatanın bulunduğu bileşenin kendisi. Sorun, Ruby'nin yerleşik düzenli ifade motoru olan ve GitLab'ın kendi paketleri içinde dağıtıp kendi derlemelerinde yamaladığı Onigmo adlı derleyicide bulunuyor. Bu motordaki zayıflık, GitLab'ın onu dağıttığı her yerde mevcut ve bu da 7.0 sürümünden beri yayımlanan tüm sürümler anlamına geliyor.
Şirket, açığın özel olarak hazırlanmış bir düzenli ifadenin derlenmesi sırasında meydana gelen tamsayı taşmasından kaynaklandığını belirtti. Ancak saldırganın bu derleyiciye ulaşması için hangi ön koşulların gerektiği açıklanmadı. Bu nedenle yöneticiler, yapılandırma yoluyla kendilerini risk dışında tutamıyor. GitLab'ın danışma metninde geçici bir çözüm önerisi de yer almıyor; kesin koruma olarak yalnızca düzeltmenin uygulanması gösteriliyor.
Kapsam açısından yalnızca self-managed kurulumların harekete geçmesi gerekiyor. GitLab.com zaten düzeltilmiş sürümü çalıştırıyor. GitLab Dedicated kiracılarından 19.3.5-internal0 ve 19.4.2-internal0 veya daha sonraki dahili sürümlerde olanlar da düzeltmeye sahip durumda.

Hangi Sürümler Etkileniyor ve Hangi Sürüme Geçilmeli​

GitLab, açığı aynı anda yedi sürümde birden düzeltti. Her sürüm dalı için düzeltilmiş sürüm eşleşmesi şöyle açıklandı:

• 19.5 öncesi sürüm çalıştıranlar 19.5.1 sürümüne yükseltmeli
• 19.4 öncesi sürüm çalıştıranlar 19.4.3 sürümüne yükseltmeli
• 19.3 öncesi sürüm çalıştıranlar 19.3.6 sürümüne yükseltmeli
• 19.2 öncesi sürüm çalıştıranlar 19.2.9 sürümüne yükseltmeli
• 19.1 öncesi sürüm çalıştıranlar 19.1.9 sürümüne yükseltmeli
• 19.0 öncesi sürüm çalıştıranlar 19.0.10 sürümüne yükseltmeli
• 7.0 ile 18.11 arasındaki tüm sürümler dahil olmak üzere 18.11.13 öncesi sürüm çalıştıranlar 18.11.13 sürümüne yükseltmeli

\nBu yedi sürümden dördü, GitLab'ın normalde yama yayımladığı kapsamın dışında kalıyor. Şirketin politikası, mevcut sürüm ile önceki iki aylık sürümü kapsıyor ve bugün itibarıyla bu sürümler 19.5, 19.4 ve 19.3 olarak belirtiliyor. GitLab, bu düzeltme için şiddetli sorunlarda saklı tuttuğu bir adım olarak 18.11.13, 19.0.10, 19.1.9 ve 19.2.9 sürümlerine de geriye dönük yama uyguladığını duyurdu.

Onigmo Motorundaki Zafiyet ve Tespit Kuralları​

Onigmo, Ruby diliyle birlikte gelen ve GitLab tarafından paketlenen bir bileşen olduğu için zafiyetin etki alanı genişledi. GitLab, bu motoru kendi paketleri içinde dağıttığı ve kendi derlemelerinde yamaladığı için, motorun zayıf olduğu her GitLab sürümü doğrudan etkilenmiş oldu.
Yöneticilerin olası istismar girişimlerini aramasına yardımcı olmak için GitLab iki tespit kuralı da yayımladı. "Onigmo native worker crash" ve "Org mode render error burst" olarak adlandırılan kurallar, şirketin açık kaynaklı TLDR çerçevesinin bir parçası. Her tespit, Sigma formatında yazıldı ve GitLab'ın kendi uygulama günlüklerine karşı çalışacak şekilde tasarlandı.
Buna rağmen GitLab, saldırganın derleyiciye erişmek için hangi ön koşullara ihtiyaç duyduğunu açıklamadı. Bu belirsizlik nedeniyle, yalnızca günlük incelemesi veya yapılandırma kontrolüyle güvende olunduğu sonucuna varılamıyor. Şirketin danışma metni, düzeltme dışında bir geçici çözüm sunmuyor.

Aynı Araştırmacıdan Bir Ayda Dördüncü RCE Bildirimi​

Bu açık, aynı araştırmacının bir ay içinde GitLab'ın düzenli ifade motorunda bildirdiği dördüncü kod çalıştırma açığı oldu. joaxcar takma adını kullanan araştırmacının bulduğu önceki açıklar da benzer bir teknik nedene dayanıyordu.
12 Ekim'de GitLab, yine düzenli ifade derleyicisindeki tamsayı taşmasından kaynaklanan ve kimlik doğrulaması gerektirmeyen CVE-2026-97229 açığını 19.2.8, 19.3.5 ve 19.4.2 sürümlerinde düzeltmişti. Bu açık da CVSS 10.0 puanına sahipti. 23 Eylül'de ise CVE-2026-93577 ve CVE-2026-89078 olarak izlenen iki açık daha kapatılmıştı; her ikisi de 9.9 puan almıştı ancak oturum açmış bir hesap gerektiriyordu. Önceki üç açık 19.2 sürümünde duruyordu, 21 Ekim'de düzeltilen CVE-2026-110264 ise 19.2 öncesine kadar uzanan ilk açık oldu.

Diğer Kapatılan Açıklar ve Güncelleme Sürecinde Dikkat Edilmesi Gerekenler​

21 Ekim sürümü toplam 11 güvenlik sorununu düzeltiyor; biri kritik, diğerleri yüksek, orta ve düşük seviyede derecelendirildi. Kritik olan CVE-2026-110264 dışında kimlik doğrulamayla ilgili iki yüksek seviyeli açık da dikkat çekiyor.
Bunlardan CVE-2026-15723, 8.2 puanla yüksek dereceli ve oturum açmış bir kullanıcının başka bir hesabı ele geçirmesine olanak tanıyabiliyor, ancak yalnızca yönetici hem SAML hem de LDAP otomatik bağlamayı etkinleştirdiğinde ortaya çıkıyor. GitLab'ın OAuth ve OpenID Connect uç noktalarındaki önbellek zehirlenmesi açığı CVE-2026-112212 ise 7.5 puanla yüksek dereceli; paylaşılan önbellek kullanan kurulumlarda saldırganın belirli oturum açma akışlarını kendi kontrolündeki bir sunucuya yönlendirmesine izin verebiliyor.
Güncelleme planlanırken kesinti ihtimali de göz önünde bulundurulmalı. 19.4.3 ve 19.3.6 sürümleri, yükseltme sırasında çalışan veritabanı değişiklikleri içeriyor ve tek düğümlü sunucuda bu işlemler tamamlanana kadar kesinti anlamına geliyor. GitLab, çok düğümlü kurulumların sıfır kesinti prosedürünü kullanarak yamayı kesintisiz uygulayabileceğini belirtiyor.

Sıkça Sorulan Sorular​

CVE-2026-110264 açığı nedir ve ne kadar ciddi?​

CVE-2026-110264, GitLab'ın self-managed sürümlerinde kimliği doğrulanmamış bir kullanıcının özel olarak hazırlanmış bir düzenli ifadenin derlenmesi sırasında oluşan tamsayı taşması nedeniyle sunucuda rastgele kod çalıştırmasına olanak tanıyabilecek bir açık. CVSS ölçeğinde 10.0 ile en yüksek ciddiyet seviyesinde derecelendirildi.

Hangi GitLab sürümleri etkileniyor?​

Açık, 2014'te yayımlanan 7.0 sürümünden bu yana tüm GitLab sürümlerini etkiliyor. GitLab.com zaten düzeltilmiş sürümü çalıştırıyor, GitLab Dedicated kiracılarından 19.3.5-internal0 ve 19.4.2-internal0 veya sonrası da düzeltmeye sahip. Diğer tüm self-managed kurulumların güncelleme yapması gerekiyor.

12 Ekim'de güncelleme yapanların yeniden güncelleme yapması gerekiyor mu?​

Evet. 12 Ekim güncellemesi yalnızca 19.2 ve sonrasını kapsıyordu. 21 Ekim'de yayımlanan düzeltilmiş sürümler bir yama numarası daha ileride olduğu için 19.2.8, 19.3.5 ve 19.4.2 sürümlerine güncelleyen örnekler yeniden etkilenir durumda ve 19.2.9, 19.3.6, 19.4.3 gibi yeni sürümlere geçilmesi gerekiyor.

Açık saldırılarda kullanıldı mı?​

GitLab, açığın saldırılarda kullanıldığına dair bir işaret bulunmadığını açıkladı. Kaynak içeriğe göre 22 Ekim itibarıyla açık, ABD CISA'nın bilinen istismar edilen açıklar kataloğunda listelenmiyor.

Yöneticiler açığı nasıl tespit edebilir ve geçici çözüm var mı?​

GitLab, "Onigmo native worker crash" ve "Org mode render error burst" adlı iki tespit kuralını açık kaynaklı TLDR çerçevesi içinde Sigma formatında yayımladı. Ancak hangi ön koşulların saldırıya imkan verdiği açıklanmadığı için yapılandırma ile risk dışına çıkılamıyor ve danışma metninde geçici çözüm bulunmuyor; kesin koruma yalnızca düzeltilmiş sürüme yükseltme.