Siber Güvenlik Başkanlığı, Git servis yazılımı Gitea'daki güvenlik açıkları için 15 Ekim 2026'da TR-26-1329 kodlu güvenlik bildirimi yayımladı. Bildirimde 28 adet CVE kodu listelenirken, zafiyetler nedeniyle hedef sistemlerin siber saldırganlar tarafından saldırıya uğrayabileceği kaydedildi. Başkanlık, sistem yöneticilerine yayımlanan dokümanları inceleyerek gerekli önlemleri almalarını önerdi.
TR-26-1329 bildirimindeki 28 güvenlik açığı, Başkanlığın 7 Ekim 2026'da yayımladığı TR-26-1261 kodlu Gitea bildiriminde yer alan zafiyetlerden tamamen farklı bir listeyi kapsıyor. Önceki duyuruda 28.0.0 ve 28.1.0 sürümleri ele alınırken, iki bildirim arasında ortak CVE bulunmuyor. Bu 28 açığın hiçbiri CISA'nın bilinen istismar edilen zafiyetler (KEV) kataloğunda yer almıyor; daha önce KEV'e giren CVE-2026-60004 de bu listede değil.
Açıkların tamamı 1.27 sürümlerinde düzeltildi
Kayıtları 14 Ekim 2026'da cve.org'da yayımlanan 28 güvenlik açığının tamamı Gitea'nın daha önce yayımladığı 1.27 sürümleriyle giderildi. Açıkların 24'ü Gitea Actions, API, paket deposu ve depo taşıma alanlarını etkiliyor ve bu açıklar 29 Ağustos 2026 tarihli Gitea 1.27.3 sürümünde kapatıldı. CVE kayıtlarına göre etkilenen en yüksek sürüm 1.27.2 olarak listelenirken, 1.27.3 ve sonraki sürümler bu açıklardan etkilenmiyor.
Listelenen 28 açık arasında CISA ADP ve cve.org kayıtlarında öne çıkan bazı zafiyetler ve etki alanları şunlar:
- CVE-2026-59774 (CVSS 3.1: 9.8): Org-mode işaretleme işleyicisinin yönergeleri engellememesi nedeniyle kimlik doğrulaması bulunmayan bir saldırgan sunucu dosyalarını okuyabiliyor ve yapılandırma dosyasındaki belirteçler üzerinden komut çalıştırabiliyor. Açık 27 Temmuz 2026 tarihli 1.27.1 sürümünde kapatıldı.
- CVE-2026-71184 (CVSS 3.1: 8.8): Gitea Actions mekanizmasında çekme istekleri için bakımcı onayının atlanmasına izin veriyor; 1.27.3 sürümünde düzeltildi.
- CVE-2026-66877 (CVSS 3.1: 8.1): İlk kez katkı veren kullanıcılar için onay mekanizmasının aşılmasına ve runner üzerinde kod çalıştırılmasına yol açabiliyor; 1.27.3 sürümünde giderildi.
- CVE-2026-70402 (CVSS 3.1: 5.8): Git kanca dizinlerinin geniş izinlerle oluşturulması sonucu yerel kullanıcıların kod çalıştırabilmesine olanak tanıyor; 1.27.3 sürümünde düzeltildi.
- CVE-2026-25946 (CVSS 3.1: 5.3): OpenID oturum açma keşif isteklerinde iç ağ adreslerinin denetlenmemesinden kaynaklanan SSRF açığı; 1.27.0 sürümünde kapatıldı.
28 açığın tam listesi ve teknik ayrıntıları Siber Güvenlik Başkanlığı bildirim sayfası ile Gitea GitHub danışma kayıtlarında yer alıyor. Gitea, tüm sunucu yöneticilerine sistemlerini en kısa sürede 1.27.3 veya güncel sürümlere yükseltmelerini öneriyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı TR-26-1329 Güvenlik Bildirimi
- Gitea GitHub Güvenlik Danışmaları
- Gitea 1.27.3 Sürüm Duyurusu
- Gitea 1.27.2 Sürüm Duyurusu
- Gitea 1.27.1 Sürüm Duyurusu
- Gitea Güvenlik Danışması (CVE-2026-59774 / GHSA-6v53-hr58-556r)
Kapak görseli: Gitea logosu / Wikimedia Commons, MIT (1200×675 uyarlandı).
