GitLab’ın Kritik Açığı On Yıllık Sürümleri Tehdit Ediyor

GitLab kullanıcıları için kritik bir güvenlik uyarısı yayımlandı. Popüler yazılım geliştirme platformunun neredeyse tüm sürümlerini etkileyen ciddi bir GitLab uzaktan kod yürütme açığı keşfedildi. CVSS ölçeğinde en yüksek puan olan 10.0 ile derecelendirilen bu zafiyet, saldırganların oturum açmaya gerek kalmadan kendi yönettiği sunucular üzerinde kod çalıştırmasına olanak tanıyor. 2014 yılından bu yana yayımlanan tüm GitLab sürümlerini kapsayan bu güvenlik boşluğu, platformun altyapı güvenliğine dair önemli soruları gündeme getiriyor.

On Yıllık Bir Güvenlik Krizi: CVE-2026-110264

GitLab tarafından 21 Ekim 2026 tarihinde yayımlanan düzeltmeler, platformun uzun süredir farkında olunmayan ciddi bir zaafiyetini gideriyor. CVE-2026-110264 olarak izlenen bu açık, sektörde nadiren görülen CVSS 10.0 puanıyla en yüksek kritiklik seviyesinde yer alıyor. Bu durum, zafiyetin kullanımının kolaylığını ve potansiyel etkisinin yıkıcılığını işaret ediyor. Özellikle 2014’te yayımlanan 7.0 sürümünden itibaren, yani platformun on yılı aşkın geçmişindeki her sürümün bu tehdit altında olduğu bildirildi. Ancak bu zafiyetin yalnızca kendi kendine yönetilen (self-managed) GitLab kurulumlarını etkilediğini vurgulamak önemli. GitLab.com ve GitLab Dedicated gibi bulut tabanlı hizmetler, şirket tarafından zaten güncellenmiş durumda olduğundan güvende sayılıyor.

Düzenli İfade Motorundaki Gömülü Zafiyet

Bu geniş kapsamlı güvenlik açığının temelinde yatan neden, GitLab’ın düzenli ifade (regular expression) derleme sürecindeki bir tam sayı taşması (integer overflow) hatasıdır. Zafiyet, özel olarak hazırlanmış bir düzenli ifadenin işlenmesi sırasında ortaya çıkıyor ve kimliği doğrulanmamış bir kullanıcının sunucuda rastgele kod yürütmesine kapı aralıyor. GitLab, bu hatanın belirli koşullar altında gerçekleştiğini belirtse de, bu koşulların tam olarak ne olduğu hakkında detay vermedi. Sorunun kaynağı, GitLab’ın kendi paketlerinde gönderdiği ve şirket içinde yamaladığı Ruby’nin yerleşik motoru olan Onigmo‘da yatıyor. Onigmo motorundaki bir zayıflık, GitLab’ın onu kullandığı her yerde mevcut; bu da 7.0 sürümünden bu yana yayımlanan her sürümün etkilendiği anlamına geliyor. Bu durum, temel bileşenlerdeki bir hatanın uzun yıllar boyunca nasıl geniş bir tehdit oluşturabileceğini gözler önüne seriyor.

Yönetilen Sistemler İçin Acil Eylem Gereği

Bu kritik açık, özellikle kendi sunucularında GitLab çalıştıran yöneticiler için acil bir eylem çağrısı niteliğinde. Daha önce 12 Ekim’de yayımlanan bir güncellemenin yalnızca 19.2 ve sonraki sürümleri kapsadığı göz önüne alındığında, yeni düzeltmelerin kapsamı daha da genişliyor. Önceki yamayı uygulayan yöneticiler bile, bu yeni kritik düzeltmeyi içermediği için tekrar risk altında bulunuyor. GitLab, zafiyetin şimdiye kadar saldırılarda kullanıldığına dair herhangi bir işaret olmadığını belirtmiş durumda. Ayrıca, 22 Ekim itibarıyla ABD CISA’nın bilinen istismar edilen zafiyetler kataloğunda listelenmiyor. Ancak bu durum, potansiyel riskin ciddiyetini azaltmıyor. Kimliği doğrulanmamış bir kullanıcının sisteme erişim sağlayabilmesi, veri ihlallerinden hizmet kesintilerine kadar geniş bir yelpazede tehdit oluşturuyor. Bu tür bir RCE, saldırganlara sunucu üzerinde tam kontrol sağlayarak ciddi sonuçlar doğurabilir.

Riskleri Azaltmak İçin Gerekli Adımlar

Kendi kendine yönetilen GitLab kurulumlarının yöneticileri için en kesin koruma yolu, yayımlanan düzeltmeleri vakit kaybetmeden uygulamaktır. GitLab, bu zafiyeti yedi farklı sürümde aynı anda giderdi. İşte her bir sürüm dalı için yükseltilmesi gereken düzeltme sürümleri:

• 19.5 sürümü için: 19.5.1
• 19.4 sürümü için: 19.4.3
• 19.3 sürümü için: 19.3.6
• 19.2 sürümü için: 19.2.9
• 19.1 sürümü için: 19.1.9
• 19.0 sürümü için: 19.0.10
• 7.0’dan 18.11’e kadar olan sürümler için: 18.11.13

GitLab, normalde güncel sürüm ve önceki iki aylık sürüm için yama sağlarken, bu kritik sorun için 18.11.13, 19.0.10, 19.1.9 ve 19.2.9 gibi daha eski sürümlere de düzeltmeler sundu. Bu durum, açığın ciddiyetini ve şirketin duruma verdiği önemi gösteriyor. Yöneticilerin, yapılandırma yoluyla kendilerini riskten arındırma şansı bulunmadığından, tek kesin çözüm güncellemedir. Ayrıca GitLab, olası istismar girişimlerini tespit etmek amacıyla “Onigmo native worker crash” ve “Org mode render error burst” adlı iki tespit kuralı yayımladı. Bu kurallar, şirketin açık kaynaklı TLDR çerçevesinin bir parçası olarak Sigma formatında yazıldı ve GitLab uygulama günlüklerine karşı çalışıyor. Yöneticilerin bu tespit kurallarını sistemlerine entegre etmeleri, saldırı belirtilerini erken aşamada yakalamalarına yardımcı olacaktır.

Güvenlik Ekosisteminde Süregelen Bir Tartışma

Bu son güvenlik açığı, yazılım geliştirme ekosistemindeki derinlemesine güvenlik kontrollerinin ne denli kritik olduğunu bir kez daha ortaya koyuyor. Aynı araştırmacı, ‘joaxcar’ takma adını kullanan kişi, yalnızca bir ay içinde GitLab’ın düzenli ifade motorunda dördüncü kez kod yürütme