GitLab Kullanıcılarına Kritik Uyarı: Maksimum Seviyedeki Açık İçin Hemen Güncelleme Yapılmalı
GitLab, kimlik doğrulaması olmadan dosya okunmasına yol açabilecek maksimum önem dereceli CVE-2026-85706 açığı nedeniyle kendi sunucularını yöneten kullanıcıları acilen güncelleme yapmaya çağırdı. Repository commits API içindeki yetersiz yol kısıtlaması ile eksik kimlik doğrulama kontrolü, belirli koşullarda saldırganların sunucudaki rastgele dosyalara erişmesine neden olabiliyor. GitLab, açığı Community Edition (CE) ile Enterprise Edition (EE) için yayımladığı güncellemelerle giderirken GitLab.com kullanıcılarının ek işlem yapmasına gerek olmadığını belirtti.
Path Traversal Açığı Yetkisiz Dosya Okumasına Yol Açıyor
Güvenlik araştırmacısı s3ntago, açığı GitLab’ın HackerOne hata ödül programı üzerinden bildirirken zafiyet repository commits API bileşenindeki dosya yolu kontrolleriyle ilişkilendirildi. GitLab’ın açıklamasına göre saldırganlar belirli koşullar altında herhangi bir kimlik doğrulama işlemi gerçekleştirmeden savunmasız sunuculardaki dosyaları okuyabiliyor.
Path traversal açıkları, uygulamanın kullanıcı tarafından sağlanan bir dosya yolunu izin verilen dizinin dışına çıkamayacak şekilde sınırlandıramaması durumunda ortaya çıkıyor. Saldırganlar bu tür bir kontrol eksikliğini kullandığında uygulamanın erişmemesi gereken yapılandırma dosyaları, kimlik bilgileri veya uygulama verileri gibi kaynaklara ulaşmaya çalışabiliyor.
Repository commits API üzerinden ortaya çıkan sorun, GitLab kullanan kuruluşlarda özellikle kendi altyapısını yöneten ekipler açısından önem taşıyor. GitLab sunucularında kaynak kodları, CI/CD yapılandırmaları, erişim belirteçleri ile çeşitli proje verileri tutulabildiği için dosya okuma yeteneği saldırının sonraki aşamalarında daha ciddi sonuçlara zemin hazırlayabiliyor.
GitLab’ın yayımladığı güvenlik düzeltmeleri yalnızca CVE-2026-85706 ile sınırlı kalmadı. Şirket, GraphQL subscription serializer bileşenindeki güvensiz serileştirme sorunundan kaynaklanan CVE-2026-87719 için de yama yayımladı; söz konusu açık GitLab EE sürümlerini etkilerken Duo Chat erişimine sahip kimliği doğrulanmış kullanıcıların hassas kimlik bilgilerini çalmasına veya Advanced Search yapılandırmalarına erişmesine yol açabiliyor.
GitLab 19.3.2, 19.2.6 ile 19.1 sürümlerini güvenlik düzeltmelerini içeren sürümler olarak duyurdu. Kendi GitLab altyapısını işleten kuruluşların kullandıkları sürümü kontrol ederek desteklenen güvenli sürümlerden birine geçmesi gerekiyor.
GitLab, kendi kendine yönetilen kurulumların güvenlik güncellemelerini geciktirmeden yüklenmesini özellikle tavsiye etti. GitLab.com altyapısı zaten yamalı sürüm üzerinde çalıştığı için SaaS hizmetini kullanan müşterilerin sunucu tarafında manuel güncelleme yapması gerekmiyor; GitLab Dedicated müşterileri için de şirket ayrıca bir işlem gerekmediğini belirtti.
GitLab’ın geçmiş güvenlik kayıtları, path traversal sorunlarının platform açısından yeni bir tehdit olmadığını gösteriyor. Şirket 2023’te CVE-2023-2825 olarak izlenen başka bir maksimum önem dereceli path traversal açığını kapatmıştı; söz konusu zafiyet saldırganların yamalanmamış sunuculardaki özel yazılım kodu, kullanıcı kimlik bilgileri, belirteçler ile dosyalar gibi hassas verilere erişmesine yol açabiliyordu.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ile Federal Bureau of Investigation (FBI) da 2024’te yazılım üreticilerini path traversal açıklarını ürünleri yayımlanmadan önce ortadan kaldırmaya çağırmıştı. Kurumlar, bu tür güvenlik hatalarının uzun süredir bilinen bir tehdit olduğunu vurgulayarak yazılım geliştirme süreçlerinde dosya yolu doğrulamasının daha erken aşamalarda ele alınmasını istemişti.
GitLab’ın güvenlik geçmişindeki başka bir örnek de Ocak 2026’da giderilen yüksek önem dereceli iki faktörlü kimlik doğrulama atlatma açığı oldu. Community Edition ile Enterprise Edition sürümlerini etkileyen sorun, hedef hesabın kimlik numarasını bilen saldırganların iki faktörlü doğrulama mekanizmasını aşabilmesine neden olabiliyordu.
CISA, Kasım 2021’den bu yana dört GitLab güvenlik açığını saldırılarda istismar edilen zafiyetler arasında listeledi. Kurumun kayıtlarında CVE-2021-22175 ile CVE-2021-39935 dahil olmak üzere GitLab’a ait açıkların yer alması, yeni yayımlanan yamaların geciktirilmemesi gerektiğini gösteren önemli bir geçmiş verisi oluşturuyor.
DevSecOps platformunun geniş kurumsal kullanımı da güvenlik güncellemelerinin önemini artırıyor. GitLab’ın açıkladığı verilere göre platformda 30 milyondan fazla kayıtlı kullanıcı bulunuyor ve Fortune 100 şirketlerinin yarısından fazlası GitLab kullanıyor; Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs ile UBS bu şirketler arasında yer alıyor.
Türkiye’deki GitLab kullanıcıları açısından özellikle self-managed kurulumlar öncelikli risk grubunu oluşturuyor. Kurumların GitLab CE veya EE sürümlerini, internete açık sunucu yapılarını, API erişimlerini ve güvenlik günlüklerini kontrol etmesi; güncelleme sonrasında ise kritik projelerin dosya erişimi ile kimlik doğrulama davranışlarını doğrulaması güvenlik ekipleri açısından yerinde bir yaklaşım olacaktır.
Kendi GitLab sunucusunu yöneten ekiplerin ilk olarak sürüm bilgisini kontrol etmesi, ardından CVE-2026-85706 için yayımlanan güvenlik düzeltmesinin kurulumunu doğrulaması gerekiyor. Güvenlik ekipleri güncelleme sürecini tamamladıktan sonra olağan dışı API isteklerini, beklenmeyen dosya erişimlerini ve sunucu günlüklerindeki şüpheli etkinlikleri inceleyerek olası istismar belirtilerini de değerlendirebilir.
DevSecOps ortamlarında GitLab çoğu zaman yalnızca kaynak kodu barındıran bir platform olarak kullanılmadığı için güvenlik açığının etkisi tek bir uygulama katmanıyla sınırlı kalmayabilir. CI/CD süreçleri, container kayıtları, erişim belirteçleri, proje değişkenleri ile üçüncü taraf entegrasyonlar aynı altyapıya bağlandığında saldırganın elde ettiği bir dosyanın sonraki saldırı adımlarında kullanılma ihtimali kuruluşların risk değerlendirmesinde dikkate alınmalıdır.
