GitLab, Sunucularda Uzaktan Kod Çalıştırılmasına Yol Açabilecek Kritik Açığı Yamadı

GitLab, CI/CD altyapısındaki düzenli ifade derleyicisinde uzaktan saldırganların sunucularda kod çalıştırmasına yol açabilecek kritik bir güvenlik açığı için acil güncelleme uyarısı yayınladı. CVE-2026-97229 kimliğiyle izlenen güvenlik sorunu, özel hazırlanmış bir düzenli ifade üzerinden kimlik doğrulaması gerektirmeden istismar edilebiliyor. Şirket, açığı GitLab Community Edition (CE) ile Enterprise Edition (EE) sürümlerinde giderirken kendi sunucularını yöneten kuruluşlara yamalı sürümlere geçmeleri çağrısında bulundu.

CVE-2026-97229 GitLab CI/CD Altyapısını Nasıl Etkiliyor?

GitLab’daki kritik güvenlik açığı, CI/CD işlem hatlarının yapılandırma dosyalarındaki düzenli ifadeleri işleyen derleyicide ortaya çıkıyor. CVE-2026-97229 olarak kaydedilen sorun, tamsayı taşması olarak bilinen integer overflow zafiyetinden kaynaklanıyor. Yetersiz düzenli ifade doğrulamasıyla birleşen hata, saldırganların özel hazırlanmış bir ifadeyi kullanarak hedef sunucuda rastgele kod çalıştırmasına kapı aralayabiliyor.

Güvenlik araştırmacısı joaxcar, açığı GitLab’ın HackerOne hata ödül programı üzerinden bildirdi. Şirketin güvenlik duyurusuna göre saldırı senaryosu, hedef sistemde önceden bir kullanıcı hesabı bulunmasını gerektirmiyor. Dolayısıyla internete açık, savunmasız ve kendi altyapısında barındırılan GitLab kurulumları açısından risk, yalnızca yetkili kullanıcıların gerçekleştirebileceği işlemlerle sınırlı kalmıyor.

CI/CD sistemleri, kaynak kodunun derlenmesi, test edilmesi ve dağıtıma hazırlanması gibi yazılım geliştirme adımlarını otomatikleştiriyor. Saldırganın böyle bir sunucuda kod çalıştırması, sistemin izinlerine ve yapılandırmasına bağlı olarak geliştirme süreçlerini, erişilebilir verileri ve bağlı altyapıları tehlikeye atabilir.

GitLab, açığı üç ana sürüm dalında yayınlanan güvenlik güncellemeleriyle giderdi. Kurumların kullandıkları sürüm dalına uygun düzeltilmiş sürüme geçmesi gerekiyor.

Güvenlik güncellemesi hem Community Edition hem de Enterprise Edition için geçerli. GitLab, kendi sunucularını yöneten müşterilerine yamalı sürümlerden birine vakit kaybetmeden yükseltme yapmalarını öneriyor.

GitLab.com hizmetinin düzeltilmiş sürüme geçirildiği belirtilirken GitLab Dedicated müşterilerinin ayrıca işlem yapmasına gerek olmadığı ifade ediliyor. Kendi sunucusunu yöneten işletmelerin ise kurulu sürümü kontrol etmesi, uygun yamayı uygulaması ve güncellemenin tamamlandığını doğrulaması gerekiyor.

GitLab’ın son aylarda ele aldığı güvenlik sorunları, DevSecOps platformlarını yöneten ekiplerin güncelleme süreçlerini yakından takip etmesi gerektiğini ortaya koyuyor. Şirket, ocak ayında CVE-2026-0723 numaralı yüksek önem dereceli iki faktörlü kimlik doğrulama atlatma açığını gidermişti. Saldırganların hedef hesabın kimliğini bilmeleri durumunda kimlik doğrulama korumasını aşabilmesine yol açan söz konusu sorun, Community Edition ve Enterprise Edition sunucularını etkiliyordu.

Geçen ay giderilen CVE-2026-85706 ise kimlik doğrulaması yapmayan saldırganların savunmasız GitLab sunucularındaki kimlik bilgileri ve diğer gizli verilere erişmesine neden olabiliyordu. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bir gün sonra söz konusu açığı aktif olarak istismar edilen güvenlik kusurları kataloğuna ekledi ve federal kurumlara sistemlerini üç gün içinde güvenceye almaları talimatını verdi.

CISA’nın kasım 2021’den bu yana saldırılarda kullanıldığı belirtilen beş GitLab güvenlik açığını kataloğuna dahil etmesi, platformdaki zafiyetlerin yalnızca teorik risk oluşturmadığını gösteriyor. Önceki açıklamalarda, söz konusu açıklar arasındaki bir güvenlik kusurunun fidye yazılımı grupları tarafından da kullanıldığı belirtilmişti.

İşletmeler GitLab Sunucularını Nasıl Koruyabilir?

GitLab kullanan kuruluşların ilk adım olarak kurulum türünü ve sürüm numarasını belirlemesi gerekiyor. Kendi altyapısında GitLab çalıştıran ekipler, ilgili güvenlik duyurusundaki sürüm gereksinimlerini kontrol ederek güncellemeyi önceliklendirmeli. Kuruluşların ayrıca CI/CD işlem hatlarını, erişim izinlerini ve güvenlik kayıtlarını incelemesi, olası şüpheli etkinlikleri tespit etmeye yardımcı olabilir.

Yazılım geliştirme ortamları çoğu zaman kaynak kodu depolarına, derleme sistemlerine, dağıtım araçlarına ve gizli anahtarlara erişebiliyor. Bu nedenle bir CI/CD sunucusundaki uzaktan kod çalıştırma açığı, yalnızca ilgili uygulamayla sınırlı kalmayan sonuçlar doğurabilir. En az ayrıcalık ilkesi, ağ erişiminin sınırlandırılması ve kimlik bilgilerinin güvenli biçimde yönetilmesi, güncellemelere ek koruma katmanları sağlıyor.

GitLab’ın milyonlarca kayıtlı kullanıcıya ve Fortune 100 şirketlerinin yarısından fazlasına hizmet verdiğini açıklaması, platformun kurumsal yazılım geliştirme ekosistemindeki geniş kullanım alanını ortaya koyuyor. Nvidia, T-Mobile, Lockheed Martin, Airbus ve Goldman Sachs gibi şirketlerin platformu kullanan kuruluşlar arasında sayılması, güvenlik yamalarının kurumsal operasyonlar açısından önemini artırıyor. Savunmasız kurulumların güncellenmesi, CVE-2026-97229 kaynaklı riskin azaltılmasında öncelikli adım olarak öne çıkıyor.