GitLab Community Edition proje sayfasının ekran görüntüsü; sol menüde Continuous Integration bölümü görülüyor, temsili (2015 arayüzü)

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 29 Ekim 2026'da GitLab Community Edition ve Enterprise Edition sürümlerindeki CVSS 10.0 puanlık CVE-2026-97229 açığını Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. Ayrı bir açıklamada Alpine Linux, kendi GitLab sunucusunun yamadan bir hafta sonra bu açık üzerinden saldırı girişimine uğradığını ve GitLab güncellemesinin Ruby yüzünden açığı kapatmadığını açıkladı.

Siber Güvenlik Başkanlığı (SGB), 13 Ekim 2026'da yayımladığı TR-26-1304 sayılı güvenlik bildirimi ile bu güvenlik açığının da aralarında bulunduğu 24 zafiyet için kurumlara güncelleme çağrısında bulunmuştu.

Açık ne, kimleri etkiliyor

CVE-2026-97229, GitLab Community Edition (CE) ve Enterprise Edition (EE) CI/CD yapılandırmasındaki düzenli ifade (regex) derleyicisinde bulunan bir tam sayı taşması hatasından kaynaklanıyor. GitLab'a göre açık, belirli koşullarda kimlik doğrulaması yapılmamış bir kullanıcının özel hazırlanmış bir CI/CD düzenli ifadesiyle GitLab sunucusunda kod çalıştırmasına imkan tanıyor ve CVSS 10.0 ile kritik sınıfında değerlendiriliyor.

Açık; 19.2 dalında 19.2.8 öncesini, 19.3 dalında 19.3.5 öncesini ve 19.4 dalında 19.4.2 öncesini etkiliyor. GitLab ilk düzeltmeleri 12 Ekim 2026'da yayımladı. HackerOne üzerinden bildirilen açık, GitLab.com ve GitLab Dedicated ortamlarında zaten yamalı olduğu için bu servislerin kullanıcılarını etkilemiyor; risk doğrudan kendi barındırılan (self-managed) GitLab sunucularını ilgilendiriyor.

GitLab 21 Ekim'de 19.4.3, 19.3.6, 19.2.9 ve 19.5.1 sürümlerini yayımladı. İlk duyuruda 19.3 dalı için düzeltilmiş sürüm olarak 19.3.4 gösterilmişti; ancak üretici daha sonra 19.3.5'i işaret ederek 19.3.4'ü etkilenenler listesine aldı. Bu nedenle 19.3.4 sürümünde kalan sunucuların 19.3.6'ya geçmesi gerekiyor.

Alpine Linux'un sunucusunda ne oldu

Alpine Linux'un 28 Ekim 2026 tarihli açıklamasına göre, 20 Ekim'de yeni kaydolan bir hesap sunucuyu yoklamaya başladı ve 20–21 Ekim'de özel hazırlanmış CI yapılandırmaları gönderdi. Sunucu 13 Ekim'de yapılan hatalı işlem nedeniyle 19.3.5 yerine 19.3.4 sürümünde bırakılmıştı. Saldırı sırasında GitLab işçi süreçleri 8 kez çöktü; saldırgan bunların 4'ünde istismarın bir bölümünü geçti fakat sonraki adımda başarısız oldu. 21 Ekim'deki girişimde 502 hataları yaşandı ve saldırgan Alpine'in GitLab konteyner imajını indirdi.

Alpine 22 Ekim'de GitLab 19.3.6 sürümüne geçti ancak kullanılan imaj standart Ruby içerdiği için GitLab'ın Ruby yaması sisteme yansımadı ve açık kapanmadı. Saldırgan hesabı 23 Ekim'de engellendi, 25–26 Ekim'deki denemeler sonuçsuz kaldı. Sunucunun hâlâ açık olduğunu 26 Ekim'de fark eden yönetim, 27 Ekim'de sunucuyu geliştiriciler ve derleme sunucuları dışındaki herkese kapatıp sıfırdan yeniden kurmaya başladı; yeniden kurulum 28 Ekim'de tamamlandı. Tüm parolalar sıfırlandı ve GitLab'ın gizli anahtarları değiştirildi.

Saldırganın kodunun çalıştığına dair bir kanıt bulunmuyor. Ancak başarılı bir istismarın çökme izi bırakmayabileceği, saldırı gününe ait bazı kayıtların kaybolduğu ve dışa giden bağlantılar kaydedilmediği için bu ihtimal dışlanamadı; Alpine sunucuya güvenmeyip tedbiren yeniden kurmayı seçti. Alpine paketleri ve 21 Ekim'de yayımlanan 3.21.9, 3.22.7, 3.23.7 ile 3.24.3 sürümlerinin değişmediği, bağımsız kayıtlar ve 45 derleme sunucusuyla doğrulandı. Paket imzalama anahtarlarının hiçbir zaman GitLab sunucusunda tutulmadığı açıklandı.

Saldırı başarılı olsaydı kullanıcı adları, e-posta adresleri, IP adresleri, parola özetleri, iki aşamalı doğrulama sırları, CI/CD değişkenleri, runner belirteci bilgileri, entegrasyon anahtarları ve özel depolar risk altına girecekti. Kullanıcıların gitlab.alpinelinux.org üzerinde yeni parola belirlemesi gerekiyor; ayrıca alpinelinux/gitlab konteyner imajını kullananların Ruby 3.3.13 içeren 27 Ekim tarihli 19.3.6 etiketini yeniden çekmesi veya paketlerini güncellemesi isteniyor.

GitLab'ı güncellemek neden yetmeyebilir

Açığın kök nedeni Ruby'nin yerleşik düzenli ifade motoru Onigmo bileşeninde yer alıyor. GitLab düzeltmeyi kendi Linux paketlerindeki ve resmi konteyner imajlarındaki Ruby'ye yama olarak ekledi. Ruby ise 23 Ekim 2026'da Ruby 4.0.9, 3.4.12 ve 3.3.13 sürümlerini yayımladı. Ruby, yalnızca saldırganın kontrol ettiği metinden düzenli ifade derleyen uygulamaların etkilendiğini, düzenli ifadeler için süre sınırı ayarının ve desen uzunluğu sınırlarının bu hataya karşı koruma sağlamadığını bildirdi.

Resmi paket ve imajlarda bu yama hazır gelse de GitLab'ı kaynak koddan kuranlar veya Ruby'yi bağımsız yükleyen kendi imajlarını kullananlar için yalnızca GitLab yazılımını güncellemek yetersiz kalıyor; sistemdeki Ruby sürümünün de 3.3.13, 3.4.12, 4.0.9 veya üzerine yükseltilmesi gerekiyor. The Hacker News'in aktardığına göre Ruby 3.2 için destek Nisan ayında bittiğinden bu sürüme düzeltme verilmeyecek.

CISA, 29 Ekim 2026'da kataloğa aldığı açık için ABD federal kurumlarına 1 Kasım 2026'ya kadar süre tanıdı. Zafiyetin fidye yazılımlarında kullanılıp kullanılmadığı bilinmiyor; katalog kaydı adli inceleme gerektiriyor olarak işaretlendi ve ajans aynı Onigmo hatasından başka ürünlerin de etkilenebileceğini not etti. The Hacker News'in aktardığına göre güvenlik şirketi Rapid7 13 Ekim'de bir kavram kanıtı yayımladı; şirket, hemen güncelleme yapamayan sistemlerde herkese açık projelere anonim erişimin kısıtlanmasını ve güvenilmeyen kullanıcıların proje oluşturmasının engellenmesini öneriyor. Bu önlemler açığı kapatmıyor, yalnızca saldırı yolunu daraltıyor.

Sistem yöneticileri ne yapmalı

Kendi sunucusunda GitLab çalıştıran yöneticilerin en az 19.4.3, 19.3.6, 19.2.9 ya da 19.5.1 sürümlerine geçmesi gerekiyor. GitLab 29 Ekim'de, güvenliği bozulan eMudhra ara sertifikalarına güveni kaldıran ayrı bir güvenlik güncellemesiyle (CVE-2026-111943) 19.5.3, 19.4.5, 19.3.7 ve 19.2.10 sürümlerini de yayımladı; dalların en güncel sürümleri artık bunlar. Özellikle 19.3.4 sürümünde kalan sistemlerin açıkta olduğu unutulmamalı. GitLab'ı kaynak koddan kuran veya Ruby'yi ayrı barındıran imajları kullananların Ruby bileşenini de 3.3.13, 3.4.12, 4.0.9 veya sonrasına yükseltmesi gerekiyor.

GitLab, istismar girişimlerini yakalamak için altı tespit kuralı yayımladı; kayıtlar bu kurallarla geriye dönük taranabilir. The Hacker News'in aktardığı GitLab rehberine göre başarılı bir istismar çökme izi bırakmayabileceği için olağandışı dosyalar, beklenmedik alt süreçler, dışa giden şüpheli bağlantılar, zamanlanmış görevler ve SSH anahtarlarındaki değişiklikler de incelenmeli. Kod çalıştırma izi bulunursa tüm sırlar, CI/CD değişkenleri, runner ve erişim belirteçleri yenilenmeli. Kendi kendine kayıt ve herkese açık proje oluşturma geçici olarak kısıtlanabilir; bu adım güncellemenin yerini tutmuyor. Kullanıcıdan gelen metinle düzenli ifade derleyen diğer Ruby uygulamalarında da Ruby güncellenmeli.

CISA'nın aktif istismar tespitine dair detaylar, saldırganların kimliği ve etkilenen internete açık sunucu sayısı bilinmiyor. Alpine olayındaki saldırganın kimliği de açıklanmadı. Türkiye'de SGB'nin 13 Ekim duyurusu haricinde bu istismara ilişkin yeni bir bildirim yayımlanmadı ve etkilenen yerli kurum bilgisi bulunmuyor.

Kaynaklar

Kapak görseli (temsili): GitLab Community Edition proje sayfası, 2015 arayüzü; açıktan etkilenen sürümleri ya da saldırıya uğrayan sunucuyu göstermez — GitLab / Wikimedia Commons, CC BY-SA 3.0 (16:9 kırpıldı, 1200×675 küçültüldü).