Siber Güvenlik Başkanlığı, GitLab Community Edition (CE) ve Enterprise Edition (EE) sürümlerinde yer alan 24 güvenlik zafiyeti için 13 Ekim 2026'da TR-26-1304 kodlu bildirim yayımladı. Başkanlık, mevcut açıklıklar nedeniyle saldırganların zafiyetleri kullanarak saldırı gerçekleştirmesinin ihtimal dâhilinde olduğunu belirtti; sistem yöneticilerine ilgili bülteni inceleme ve gerekli önlemleri alma tavsiyesinde bulundu.
GitLab, söz konusu açıkları gidermek için 12 Ekim 2026'da 19.4.2, 19.3.5 ve 19.2.8 sürümlerini yayımladı. Şirket, kendi sunucusunda çalışan (self-managed) tüm GitLab kurulumlarının derhal bu sürümlerden birine yükseltilmesini şiddetle tavsiye etti. GitLab.com altyapısının yamalı sürümleri çalıştırdığı, GitLab Dedicated müşterilerinin ise herhangi bir işlem yapmasına gerek olmadığı duyuruldu.
Öne çıkan güvenlik açıkları
Yayımlanan 24 zafiyetten beşi yüksek ve en üst seviye puan aralığında yer alıyor. CVE kayıtlarına göre öne çıkan açıklar şunlar:
- CVE-2026-97229 (CVSS 10.0): CI/CD yapılandırmasındaki özel hazırlanmış bir düzenli ifade (regular expression) üzerinden tamsayı taşması tetikleniyor; kimliği doğrulanmamış bir kullanıcı GitLab sunucusunda keyfi kod çalıştırabiliyor. Açık 19.2 ve sonraki CE/EE sürümlerini kapsıyor.
- CVE-2026-92883 (CVSS 8.7): Özel hazırlanmış bir depo üzerinden sözdizimi vurgulamalı çıktılarda HTML özniteliklerinin temizlenmemesi, diğer kullanıcıların tarayıcısında JavaScript çalıştırılmasına yol açıyor (XSS).
- CVE-2026-16301 (CVSS 8.5): Developer rolündeki bir kullanıcının korumalı dallarda yetkisi bulunmadan CI/CD hattı çalıştırabilmesine neden oluyor.
- CVE-2026-14814 (CVSS 8.2): Ham depo dosyalarındaki önbellek zehirleme zafiyeti, hedeflenen kullanıcıların CI/CD hatlarında özel hazırlanmış içeriklerin çalıştırılmasına olanak tanıyor.
- CVE-2026-81839 (CVSS 7.7, EE): Aktarılan bir projede yeni grubun yetkileriyle keyfi CI/CD hattı çalıştırılmasına yol açıyor.
- CVE-2026-96893 (CVSS 7.3, EE): Yapay zekâ ajanı talimatlarına içerik enjeksiyonu yapılarak başka kullanıcılara atfedilen komutların çalıştırılması ihtimalini barındırıyor.
Listelenen diğer 18 güvenlik açığı CVE kaydına göre CVSS 2.7 ile 6.2 arasında: CVE-2026-105458, CVE-2026-5954, CVE-2026-6567, CVE-2026-7767, CVE-2026-9268, CVE-2026-14210, CVE-2026-14552, CVE-2026-16275, CVE-2026-78335, CVE-2026-82632, CVE-2026-84284, CVE-2026-85529, CVE-2026-92528, CVE-2026-100104, CVE-2026-100755, CVE-2026-101168, CVE-2026-103549 ve CVE-2026-104661. Bu zafiyetlerin büyük bölümü hatalı yetkilendirme sorunlarından kaynaklanıyor; kimliği doğrulanmamış kişilerin özel grup veya proje iş öğelerini okuyabilmesi, gizli notlara erişebilmesi, GitLab Pages günlüklerinden erişim jetonu elde edilmesi ve depo içe aktarma sırasındaki SSRF sorunlarını kapsıyor.
Açıkların sahada kullanılıp kullanılmadığı ya da etkilenen kurulumların sayısı hakkında yayımlanmış bir bilgi bulunmuyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı (SGB) Güvenlik Bildirimi TR-26-1304
- GitLab 19.4.2, 19.3.5 ve 19.2.8 Yama Sürümü Notu
- CVE-2026-97229 Kaydı (cve.org)
- CVE-2026-92883 Kaydı (cve.org)
Kapak görseli: İsmail Arılık / Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı).
.png){kind=link}