GitLab, Kimlik Doğrulamasız Kod Çalıştırmaya İzin Verebilecek CVSS 10.0 Açığını Kapattı

GitLab, hem Community Edition (CE) hem de Enterprise Edition (EE) ürünlerini etkileyen ve CVSS puanı 10.0 olan maksimum önem dereceli bir güvenlik açığını gidermek için acil yamalar yayımladı. Şirketin Pazartesi günü yayımladığı güvenlik danışma belgesine göre açık, belirli koşullar altında kimliği doğrulanmamış bir kullanıcının, CI/CD yapılandırmasına yerleştirilen özel olarak hazırlanmış bir düzenli ifade aracılığıyla GitLab sunucusunda rastgele kod çalıştırmasına imkân tanıyabiliyordu.

Açığın Teknik Niteliği ve Etkilenen Sürümler​

CVE-2026-97229 olarak takip edilen açık, yetersiz düzenli ifade doğrulamasından kaynaklanan bir tam sayı taşması (integer overflow) sorunu olarak tanımlandı. Açıktan etkilenen sürümler şu şekilde sıralandı: 19.2.8 öncesi tüm 19.2.x sürümleri, 19.3.5 öncesi tüm 19.3.x sürümleri ve 19.4.2 öncesi tüm 19.4.x sürümleri. GitLab, söz konusu açığı 19.4.2, 19.3.5 ve 19.2.8 sürümlerinde kapattı. Yama uygulanmamış bir sürüm kullanan GitLab yöneticilerinin ilgili sürümlerden birine geçmesi gerekiyor.

Aynı Yayımda Giderilen Yüksek Önem Dereceli Üç Ek Açık​

Maksimum önem dereceli açığın yanı sıra aynı güvenlik güncellemesinde üç yüksek önem dereceli hata daha giderildi.

• CVE-2026-92883 (CVSS: 8.7) — Siteler arası betik çalıştırma (XSS) açığı. Kimliği doğrulanmış bir kullanıcının, özel olarak hazırlanmış bir depo aracılığıyla diğer kullanıcıların tarayıcı oturumlarında rastgele JavaScript kodu çalıştırmasına olanak tanıyabiliyordu.
• CVE-2026-16301 (CVSS: 8.5) — Aşağı akış boru hattı oluşturma hizmetinde hatalı yetkilendirme açığı. Geliştirici rolüne sahip kimliği doğrulanmış bir kullanıcının, korumalı dallarda CI/CD boru hatlarını çalıştırmasına izin verebiliyordu.
• CVE-2026-14814 (CVSS: 8.2) — İzin verici düzenli ifade açığı. Bir kullanıcının ham depo dosyaları için önbelleğe alınmış yanıtları zehirlemesine, hedeflenen kullanıcıların CI/CD boru hatlarının özel olarak hazırlanmış içerikler çalıştırmasına ve korumalı ortam değişkenlerinin açığa çıkmasına yol açabiliyordu.

\n

GitLab'ın Son Dönemdeki Güvenlik Geçmişi​

Bu açıklamanın yapıldığı dönem, GitLab açısından yoğun bir güvenlik gündemine denk geliyor. Şirket, bu yamalardan yalnızca birkaç hafta önce AI Gateway bileşenindeki kritik bir açığı (CVE-2026-90970, CVSS: 9.9) gidermişti. Söz konusu açık, Duo Agent Platform erişimine sahip kimliği doğrulanmış bir kullanıcının, özel olarak hazırlanmış bir akış yapılandırması aracılığıyla istem şablonu korumalı alanından çıkmasına ve AI Gateway üzerinde rastgele komut çalıştırmasına olanak tanıyabiliyordu.
Öte yandan geçen ay GitLab CE ve EE'yi etkileyen bir diğer maksimum önem dereceli açık (CVE-2026-85706, CVSS: 10.0), kamuoyuyla paylaşılmasının ardından saatler içinde gerçek ortamlarda aktif tarama girişimleriyle karşılaşmıştı. Bu durum, GitLab güvenlik güncellemelerinin ne denli hızlı bir şekilde tehdit aktörlerinin radarına girdiğini bir kez daha gözler önüne serdi.

Sıkça Sorulan Sorular​

CVE-2026-97229 açığı tam olarak nedir ve nasıl çalışır?​

CVE-2026-97229, GitLab'ın CI/CD yapılandırmasındaki yetersiz düzenli ifade doğrulamasından kaynaklanan bir tam sayı taşması açığıdır. Belirli koşullar altında kimliği doğrulanmamış bir kullanıcının, özel olarak hazırlanmış bir düzenli ifade aracılığıyla GitLab sunucusunda rastgele kod çalıştırmasına imkân tanıyabilmektedir. CVSS puanı 10.0 olup maksimum önem derecesi taşımaktadır.

Hangi GitLab sürümleri bu açıktan etkileniyor?​

Açık; 19.2.8 öncesi tüm 19.2.x sürümlerini, 19.3.5 öncesi tüm 19.3.x sürümlerini ve 19.4.2 öncesi tüm 19.4.x sürümlerini etkilemektedir. Hem Community Edition hem de Enterprise Edition bu kapsama girmektedir.

GitLab bu açığı hangi sürümlerde kapattı?​

Açık, 19.4.2, 19.3.5 ve 19.2.8 sürümlerinde giderildi. Etkilenen bir sürüm kullanan kullanıcıların bu yamalardan birine geçmesi önerilmektedir.

Aynı güvenlik güncellemesinde başka hangi açıklar giderildi?​

Aynı güncellemeyle birlikte üç yüksek önem dereceli açık daha kapatıldı: CVSS puanı 8.7 olan bir XSS açığı (CVE-2026-92883), CVSS puanı 8.5 olan hatalı yetkilendirme açığı (CVE-2026-16301) ve CVSS puanı 8.2 olan izin verici düzenli ifade açığı (CVE-2026-14814).

GitLab'ın son dönemde kapatılan diğer kritik açıkları nelerdir?​

Bu yamalardan birkaç hafta önce GitLab, AI Gateway bileşeninde CVSS puanı 9.9 olan CVE-2026-90970 açığını gidermişti. Bunun yanı sıra geçen ay CE ve EE'yi etkileyen ve CVSS puanı 10.0 olan CVE-2026-85706 açığı, kamuoyuyla paylaşılmasının hemen ardından gerçek ortamlarda aktif tarama girişimleriyle hedef alınmıştı.