Kritik GitLab Açığı: 12 Yıllık Sürümlerde Kimliksiz Kod Çalıştırma Riski

GitLab RCE güvenlik açığı, yazılım geliştirme dünyasında büyük bir alarm zili çaldı. CVSS ölçeğinde en yüksek puan olan 10.0 ile derecelendirilen bu kritik zafiyet, kendi kendine yönetilen GitLab sunucularında kimliksiz uzaktan kod çalıştırmaya (RCE) olanak tanıyor. Daha da endişe verici olan, bu açığın 2014 yılında piyasaya sürülen 7.0 sürümünden başlayarak, güncel yamalanmamış tüm sürümleri etkilemesi. Şirket, kullanıcılarını acilen güncellemeye çağıran yamaları 21 Ekim’de kullanıma sundu.

Yıllara Yayılan Bir Tehdit: Kapsam ve Kök Neden

Keşfedilen bu kritik güvenlik açığı, CVE-2026-110264 koduyla takip ediliyor ve GitLab ekosisteminin yaklaşık 12 yıllık tarihini kapsıyor. 2014’teki ilk 7.0 sürümünden bu yana tüm kendi kendine yönetilen GitLab kurulumları potansiyel olarak risk altında. Bu durum, açığın temel bir bileşende yattığını ve uzun süredir fark edilmeden kaldığını gösteriyor. Kimlik doğrulaması gerektirmeden sunucu üzerinde rastgele kod yürütme yeteneği, saldırganlara tam kontrol sağlayarak ciddi veri ihlalleri, hizmet kesintileri veya kötü amaçlı yazılım dağıtımı gibi yıkıcı sonuçlara yol açabilir.

Açığın kökeni, GitLab’ın kendi paketlerinde gönderdiği Ruby’nin yerleşik düzenli ifade motoru olan Onigmo‘da bulunuyor. Özel olarak hazırlanmış bir düzenli ifadenin derlenmesi sırasında meydana gelen bir tamsayı taşması, bu zafiyetin ana tetikleyicisi. Onigmo motorundaki bir zayıflık, GitLab’ın onu gönderdiği her yerde mevcut, yani 7.0 sürümünden bu yana tüm sürümlerde. Şirket, açığın aktif olarak kullanıldığına dair henüz bir işaret olmadığını belirtse de, riskin boyutu yadsınamaz. Bu geniş kapsam, erken benimseyenlerden en son kararlı sürümü kullananlara kadar geniş bir yönetici kitlesini alarma geçirdi.

Teknik Derinlik: Tamsayı Taşması ve Uzaktan Kod Çalıştırma

CVE-2026-110264, Onigmo düzenli ifade derleyicisindeki bir tamsayı taşması hatasından kaynaklanıyor. Bir saldırgan, özel olarak hazırlanmış bir düzenli ifade göndererek bu taşmayı tetikleyebilir. Bu durum, derleyicinin normal bellek sınırlarının dışına çıkmasına ve saldırganın kontrolündeki verileri yürütülebilir kod olarak yorumlamasına yol açar. Tüm bu gelişmeler gösteriyor ki, kimliği doğrulanmamış bir kullanıcı, sunucu üzerinde keyfi komutlar çalıştırabilir. Bu tür bir RCE, genellikle bir sunucuya tam erişim anlamına gelir; bu da hassas verilerin çalınmasından sistemin tamamen ele geçirilmesine kadar her şeyi mümkün kılar.

GitLab, saldırganların derleyiciye ulaşmak için hangi ön koşullara ihtiyaç duyduğunu henüz açıklamadı. Bu belirsizlik, yöneticilerin kendi yapılandırmalarıyla kendilerini güvende hissedip hissetmemeleri konusunda bir netlik sunmuyor. Bu durum, yamalamanın şu anda tek kesin koruma yöntemi olduğu anlamına geliyor. Açık, aynı araştırmacı tarafından bir ay içinde bildirilen dördüncü kod yürütme zafiyeti ve bu, 19.2 öncesi sürümleri etkileyen ilk vaka olmasıyla dikkat çekiyor. Daha önceki yamalar yalnızca 19.2 ve sonraki sürümleri kapsarken, bu son bulgu çok daha geniş bir etki alanı sergiliyor.

Kimler Etkileniyor ve Pratik Çözümler Neler?

Bu güvenlik açığından yalnızca kendi kendine yönetilen GitLab kurulumları etkileniyor. GitLab.com platformu, düzeltilmiş sürümü zaten çalıştırdığı için güvenli durumda. Benzer şekilde, GitLab Dedicated kiracıları da dahili olarak 19.3.5-internal0 ve 19.4.2-internal0 veya daha yeni sürümlere güncellendiği için risk altında değil. Asıl yük, kendi sunucularında GitLab çalıştıran organizasyonların omuzlarında. Bu tür bir kurulum, genellikle özel gereksinimleri olan veya bulut tabanlı çözümlere güvenmeyen büyük işletmeler ve geliştirme ekipleri tarafından tercih edilir. Bu yöneticilerin, sistemlerini bir an önce en güvenli sürümlere yükseltmeleri gerekiyor.

GitLab, bu kritik zafiyeti yedi farklı sürümde eş zamanlı olarak giderdi. Standart yama politikalarının ötesine geçerek, normalde desteklenmeyen 18.11, 19.0, 19.1 ve 19.2 gibi eski sürümlere de düzeltmeler sağladı. Bu, sorunun ciddiyetini açıkça ortaya koyuyor. Aşağıdaki tabloda, her sürüm dalı ve düzeltmeyi içeren sürüm eşleşmesi yer alıyor:

• 19.5 sürümü için: 19.5.1
• 19.4 sürümü için: 19.4.3
• 19.3 sürümü için: 19.3.6
• 19.2 sürümü için: 19.2.9
• 19.1 sürümü için: 19.1.9
• 19.0 sürümü için: 19.0.10
• 7.0’dan 18.11’e kadar olan sürümler için: 18.11.13

Yöneticilerin, GitLab kurulumlarının sürümünü kontrol edip ilgili düzeltme sürümüne yükseltmeleri şart. GitLab, saldırı girişimlerini tespit etmeye yardımcı olmak için “Onigmo native worker crash” ve “Org mode render error burst” adlı iki tespit kuralı da yayınladı. Bu kurallar, şirketin açık kaynaklı TLDR çerçevesinin bir parçası olarak Sigma formatında yazılmıştır ve GitLab’ın kendi uygulama günlükleri üzerinden denetim sağlar. Ancak, herhangi bir geçici çözüm sunulmadığı için, tek kesin koruma güncellemedir.

Yazılım Güvenliğinde Kalıcı Bir Ders

Bu olay, yazılım geliştirme ekosisteminde uzun süreli ve derinlemesine kök salmış güvenlik açıklarının potansiyel yıkıcı etkilerini bir kez daha gözler önüne seriyor. Onigmo gibi temel bir bileşende bulunan ve 12 yıldır fark edilmeyen bir zafiyet, karmaşık yazılımların ve onların entegre olduğu üçüncü taraf motorların ne kadar detaylı bir denetime ihtiyaç duyduğunu gösteriyor. Bu durum, sadece anlık güvenlik güncellemelerinin değil, aynı zamanda yazılım tedarik zinciri boyunca sürekli ve kapsamlı denetimlerin kritik önemini vurgulamaktadır.

Kendi kendine yönetilen sunucuların sorumluluğunu üstlenen kurumlar ve geliştiriciler için bu, sürekli uyanıklığın ve güncel kalmanın ne denli hayati olduğunun altını çiziyor. Her ne kadar GitLab hızlı bir şekilde yamaları yayınlamış ve hatta standart politikalarının ötesine geçerek eski sürümleri de desteklemiş olsa da, böylesine geniş kapsamlı bir açığın varlığı, güvenlik paradigmalarında sürekli bir adaptasyon ve proaktif yaklaşım gerekliliğini hatırlatıyor. Gelecekte, benzer riskleri minimize etmek için entegre bileşenlerin derinlemesine incelenmesi ve güvenlik test süreçlerinin daha da güçlendirilmesi elzem görünüyor.