Siber Güvenlik Başkanlığı (SGB), 22 Ekim 2026'da saat 12:53'te (TSİ) GitLab Community Edition (CE) ve Enterprise Edition (EE) için TR-26-1376 kodlu güvenlik bildirimi yayımladı; bildirimdeki 12 açıktan CVE-2026-110264 (CVSS 10,0), GitLab'a göre belirli koşullarda kimliği doğrulanmamış bir kullanıcının GitLab sunucusunda istediği kodu çalıştırmasına yol açabiliyor. Kendi sunucusunda (self-managed) GitLab işleten kurum ve ekiplerin güncelleme yapması gerekiyor; GitLab.com kullanıcılarının bir işlem yapmasına gerek yok.
Açık ne yapıyor
GitLab'a göre açık, düzenli ifade (regular expression) derleyicisindeki bir tamsayı taşmasından kaynaklanıyor: Özel hazırlanmış bir düzenli ifade derlenirken oluşan taşma, belirli koşullarda kimliği doğrulanmamış bir kullanıcının sunucuda kod çalıştırmasına imkân veriyor. GitLab bu koşulların neler olduğunu açıklamadı. Açığın CVSS 3.1 puanı 10,0; GitLab da açığı en yüksek önem derecesi olan «Critical» ile sınıflandırdı. Açığı HackerOne hata ödül programı üzerinden «joaxcar» adlı araştırmacı bildirdi.
Açık, GitLab CE ve EE'nin 7.0'dan itibaren 18.11.13 öncesindeki tüm sürümlerini etkiliyor; 19.0–19.5 dallarında da düzeltilmiş sürümden önceki sürümler etkileniyor. GitLab'ın notunda açığın saldırılarda kullanıldığına dair bir bilgi yer almıyor. Açık, 22 Ekim itibarıyla CISA'nın gerçek saldırılarda kullanıldığı bilinen açıklar kataloğunda (KEV) da bulunmuyor.
Hangi sürüme geçilmeli
GitLab, kendi sunucusunda çalışan tüm kurulumların hemen aşağıdaki sürümlerden birine yükseltilmesini öneriyor:
- 19.5.1, 19.4.3 ve 19.3.6: paketteki 12 açığın tamamını kapatıyor.
- 19.2.9, 19.1.9, 19.0.10 ve 18.11.13: eski dallar için yalnızca CVE-2026-110264'ü kapatan geri taşıma sürümleri.
GitLab.com ve GitLab Dedicated dahil GitLab'ın yönettiği altyapı yamalı. GitLab Dedicated'da 19.3.5-internal0 ya da 19.4.2-internal0 ve sonrasını çalıştıran kiracıların işlem yapmasına gerek yok. GitLab ayrıca kendi sunucusunu işletenler için bu açığa yönelik istismar girişimlerini tespit etmeye yarayan iki kural yayımladı.
19.4.3 ve 19.3.6 veritabanı geçişi (migration) içeriyor. Bu nedenle tek sunuculu kurulumlarda yükseltme sırasında, geçişler tamamlanana kadar kesinti yaşanıyor; çok sunuculu kurulumlar kesintisiz yükseltme yöntemiyle güncellenebiliyor.
SGB'nin 13 Ekim tarihli TR-26-1304 kodlu GitLab bildirimi 19.4.2, 19.3.5 ve 19.2.8 sürümlerine dayanıyordu. Bu sürümler yeni açığın düzeltmesini içermediği için o tarihte güncelleme yapanların da sistemlerini yeniden güncellemesi gerekiyor (örneğin 19.4.2'den 19.4.3'e).
Diğer 11 açık
Yama paketi toplam 12 güvenlik açığını kapatıyor. Bunlardan ikisi High dereceli: CVE-2026-15723 (CVSS 8,2), OmniAuth SAML ve LDAP otomatik bağlama (auto-linking) birlikte açıkken, kimliği doğrulanmış bir kullanıcının hedefin hiçbir etkileşimi olmadan mevcut bir LDAP hesabını ele geçirmesine imkân veriyor. CVE-2026-112212 (CVSS 7,5) ise belirli koşullarda kimliği doğrulanmamış bir kullanıcının, paylaşılan önbellekteki OAuth/OIDC keşif belgesini zehirleyerek bazı akışları dışarıdaki bir sunucuya yönlendirmesine yol açabiliyor. Kalan açıkların 5'i Medium, 4'ü Low dereceli. Bu 11 açığın düzeltmesi yalnızca 19.5.1, 19.4.3 ve 19.3.6 sürümlerinde yer alıyor; eski dallara geri taşınan sürümler yalnızca CVE-2026-110264 açığını kapatıyor.
SGB, kullanıcı ve sistem yöneticilerine ilgili güvenlik bültenini incelemelerini ve gereken önlemleri almalarını tavsiye ediyor. Türkiye'de açıktan etkilenen kurum ya da sunucu sayısına ilişkin bir bilgi paylaşılmadı.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1376 GitLab CE/EE Güvenlik Bildirimi, 22 Ekim 2026
- GitLab — Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13, 21 Ekim 2026
- CVE Program — CVE-2026-110264
Kapak (temsili): GitLab logosu, GitLab Inc. / Wikimedia Commons, MIT lisansı (koyu zemine yerleştirildi, 1200×675). GitLab adı ve logosu GitLab Inc.'in ticari markasıdır.
