GitLab, kendi sunucusunda GitLab çalıştıran kurumları ilgilendiren kritik bir güvenlik açığı için düzeltme sürümleri yayımladı. CVE-2026-110264 numaralı açık, kimlik doğrulaması yapmamış bir kullanıcının sunucuda kod çalıştırmasına izin veriyor. GitLab açığı kendi derecelendirmesinde en yüksek puanla (CVSS 3.1: 10,0) sınıflandırdı.
Ne oldu
Açık, GitLab’ın düzenli ifadeleri işlemek için kullandığı Onigmo bileşeninin derleyicisindeki bir tam sayı taşmasından kaynaklanıyor. Özel hazırlanmış bir girdi bu taşmayı tetikleyebiliyor ve sonuçta oturum açmamış bir kullanıcı sunucu üzerinde kod çalıştırabiliyor. GitLab, açığı kritik olarak sınıflandırdı ve CVSS 3.1 vektörünü ağdan, düşük karmaşıklıkla, yetki ve kullanıcı etkileşimi gerektirmeden istismar edilebilir olarak verdi. ABD Ulusal Zafiyet Veritabanı’ndaki (NVD) puan bu haberin doğrulandığı saatte henüz görülmedi; buradaki puan GitLab’ın kendi değerlendirmesidir.
Açığı HackerOne hata ödül programı üzerinden joaxcar takma adlı araştırmacı bildirdi. GitLab, doğrulanmış bir istismar bildirimi almadığını açıkladı; yine de kendi sunucusunda çalıştıranlar için iki tespit işareti paylaştı: Onigmo yerel çalışan sürecinin çökmesi ve Org biçimli belgelerin işlenmesinde ani hata artışı. Bu işaretler, günlüklerde geriye dönük kontrol için kullanılabilir.
Kimleri etkiler
Etkilenen ürünler GitLab Community Edition ve Enterprise Edition; 7.0 sürümünden başlayarak düzeltilmiş sürümlerden önceki tüm sürümler açığı taşıyor. Bu, uzun süredir güncellenmeyen kurulumlar dahil çok geniş bir aralık demek.
Açık yalnız kendi sunucusunda GitLab çalıştıranları ilgilendiriyor. GitLab.com ve GitLab Dedicated müşterileri için düzeltme üretici tarafından uygulandı; bu kullanıcıların yapması gereken bir işlem yok. Kurum içi bir GitLab sunucusu olan ve sürümü düzeltme listesinin altında kalan her ekip etkileniyor; sunucunun internete açık olup olmaması, kimlik doğrulaması gerektirmeyen bir açıkta riski artıran ana etken.
Üretici ne öneriyor
GitLab, etkilenen kurulumların hemen düzeltilmiş sürümlerden birine yükseltilmesini öneriyor: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ve 18.11.13. Her seri için kendi düzeltme sürümü var; bu yüzden büyük sürüm atlamadan, kullanılan serinin düzeltilmiş sürümüne geçmek yeterli.
Üretici ayrıca yukarıdaki iki tespit işaretinin günlüklerde aranmasını öneriyor. Çökme ya da hata artışı görülüyorsa, yükseltmeden önce olayın incelenmesi gerekiyor. Düzeltme sürümünün ayrıntıları ve diğer değişiklikler GitLab’ın sürüm duyurusunda yer alıyor; bağlantı yan sütunda.
7 Tepe için anlamı
Yönetilen BT hizmeti verdiğimiz müşterilerde kurum içi GitLab sunucusu varsa sürüm kontrolü ve yükseltme öncelikli olarak planlanır; tespit işaretleri günlüklerde geriye dönük aranır.
