GitLab'da 10.0 puanlı açık: 7.0'dan beri tüm sürümler etkili

GitLab, 21 Ekim 2026'da CVE-2026-110264 açığının yamasını yayınladı. Kendi sunucunda çalışan kurulumlarda kimlik doğrulaması olmadan kod çalıştırmaya yol açabilecek bu açık, CVSS ölçeğinde 10.0 puanla en yüksek seviyede yer alıyor.

Açığın kökeni

GitLab'ın düzenli ifade derleyicisi, Ruby'nin yerleşik Onigmo motorudur. GitLab bu motoru kendi paketleri içine gömer ve kendi derlemelerinde yama uygular. Açığın kaynağı, özel olarak hazırlanmış bir düzenli ifade derlenirken yaşanan tam sayı taşması. Açıklamaya göre belirli koşullarda kimlik doğrulaması olmayan bir kullanıcı sunucuda keyfi kod çalıştırabiliyor. Bu nedenle sorun, GitLab 7.0'dan bu yana yayınlanan her sürümde bulunuyor.

Yamanın kapsamı

GitLab açığı 7 sürümde birden düzeltti. Normalde yamaladığı 18.11, 19.0, 19.1 ve 19.2 dallarına geri yama getirildi: 18.11.13, 19.0.10, 19.1.9 ve 19.2.9. Şirketin normalde kapsadığı 19.5, 19.4 ve 19.3 aylık sürümleri de yama aldı; 19.3.6 ve 19.4.3 sürümlerinde yükseltme sırasında veritabanı değişiklikleri çalışıyor. Geri yama adımı, GitLab'ın yalnızca ciddi sorunlar için kullandığı bir uygulama.

12 Ekim yaması yeterli değil

GitLab, 9 gün önce 12 Ekim'de CVE-2026-97229 açığını 19.2.8, 19.3.5 ve 19.4.2 sürümlerinde düzeltmişti. Yeni yama bu sürümlerin bir üstüne yerleştiği için, 12 Ekim'de güncelleme yapan kurulumlar yeniden etkilenmiş durumda. Aksiyon gereken tek grup kendi sunucunda çalışan kurulumlar; GitLab.com zaten yamalı sürümü çalıştırıyor, GitLab Dedicated müşterileri ise 19.3.5-internal0 ve 19.4.2-internal0 ya da sonrası sürümlerde yama içeriyor.

Saldırı izleri ve sınırlar

Şirket, açığın saldırılarda kullanıldığına dair bir işaret bildirmedi ve açık 22 Ekim itibarıyla ABD CISA'nın bilinen açıkları kataloğunda yer almıyor. Yine de GitLab, saldırı denemelerini tespit etmek için 'Onigmo native worker crash' ve 'Org mode render error burst' adlı iki kural yayınladı. Bu kurallar, açık kaynak TLDR çerçevesinin parçası olarak Sigma formatında, GitLab'ın uygulama loglarına karşı çalışıyor. Ön koşullar açıklanmadığı için güvenilir koruma yamanın kendisi; danışmanlık ara çözüm sunmuyor.

Aynı güncelleme toplam 11 güvenlik sorununu gideriyor; bunlardan biri kritik, diğerleri yüksek, orta veya düşük. CVE-2026-15723 (8.2), yalnızca yöneticinin hem SAML hem LDAP otomatik eşleştirmeyi etkinleştirmesi durumunda, giriş yapmış bir kullanıcının başka bir hesabı devralmasına yol açabiliyor. OAuth ve OpenID Connect uç noktalarındaki CVE-2026-112212 (7.5) ise ortak önbellek kullanan kurulumlarda belirli giriş akışlarının saldırganın kontrolündeki bir sunucuya yönlendirilmesine olanak tanıyor.

Yöneticiler ne yapmalı?

Kendi sunucunuzda çalışan GitLab kurulumunun sürümünü denetleyin ve en güncel yamalı sürüme geçin. 19.4.3 ve 19.3.6 yükseltmeleri veritabanı değişiklikleri içeriyor; tek sunuculu kurulumlarda bu işlemler tamamlanana kadar kesinti yaşanır. Çok sunuculu kurulumlarda GitLab'ın kesintisiz yükseltme yöntemiyle yama kesinti olmadan uygulanabilir.