ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), GitLab Community Edition ve Enterprise Edition’daki CVE-2026-97229’u 29 Ekim 2026’da bilinen istismar edilen açıklar (KEV) kataloğuna ekledi. Açık, kimlik doğrulaması olmayan bir kullanıcının GitLab sunucusunda rastgele kod çalıştırmasına imkân veriyor. GitLab düzeltmeyi 12 Ekim’de yayımlamıştı.
Ne oldu
Katalog kaydına göre açık, CI/CD yapılandırmasındaki düzenli ifade (regex) doğrulamasının yetersizliğinden kaynaklanan bir tamsayı taşması. Özel hazırlanmış bir düzenli ifade, kimliği doğrulanmamış bir kullanıcıya sunucuda kod çalıştırma yolu açıyor. CVSS 10.0 puanını GitLab verdi; Ulusal Zafiyet Veritabanı’nın (NVD) ayrı bir puanı yok. Saldırı ağ üzerinden, düşük karmaşıklıkla, kimlik doğrulaması ve kullanıcı etkileşimi olmadan yapılabiliyor.
CISA’ya göre açık istismar ediliyor: KEV kataloğuna ekleme, ajansın aktif istismar kanıtı ölçütüne bağlı. GitLab’ın kendi duyurusu istismar olduğunu söylemiyor; yalnızca istismar girişimlerini yakalamaya yönelik tehdit tespitleri yayımlıyor. CISA, açığın fidye yazılımı kampanyalarında kullanılıp kullanılmadığını “bilinmiyor” olarak işaretlemiş. Katalog notu, aynı Ruby/Onigmo tamsayı taşması sorununun başka ürünleri de etkileyebileceğini belirtiyor.
Kimleri etkiler
GitLab’a göre etkilenenler 19.2 sürümünde 19.2.8 öncesi, 19.3’te 19.3.5 öncesi ve 19.4’te 19.4.2 öncesi tüm CE/EE kurulumları. GitLab.com ve GitLab Dedicated kiracıları zaten yamalı. Etki, kendi sunucusunda GitLab çalıştıran kurumlarda.
Üretici ne öneriyor
GitLab, kendi sunucusunda çalışan tüm kurulumların 19.4.2, 19.3.5 ya da 19.2.8 sürümüne hemen yükseltilmesini istiyor. Aynı yama sürümü bu açık dahil 24 güvenlik düzeltmesi içeriyor: 1 kritik, 5 yüksek, 14 orta ve 4 düşük önem derecesinde.
GitLab, kendi sunucusu olan müşteriler için bu açığın istismar girişimlerini yakalamaya yönelik altı tehdit tespiti yayımladı; adları arasında “Onigmo native worker crash” ve “ci regexp guard rejection” gibi kayıtlar var. CISA ise yamadan önce açıkta kalmış sunucularda iz incelemesi yapılmasını da istiyor.
Düzeltme 12 Ekim’de çıktı, açık 17 gün sonra katalog listesine girdi. CISA, ABD federal kurumları için düzeltme son tarihini 1 Kasım olarak belirledi.
Ruby tarafında ne değişti
Altta yatan düzenli ifade hatası GitLab’a özgü değil. Ruby ekibi 23 Ekim’de 4.0.9, 3.4.12 ve 3.3.13 sürümleriyle Onigmo derleme hatasını kapattı. Etki, saldırganın kontrol ettiği metinden düzenli ifade derleyen uygulamalarda ortaya çıkıyor; Ruby’nin açıklamasına göre Regexp.timeout ayarı ve desen uzunluğunu sınırlamak korumuyor. Kullanıcıdan gelen metni düzenli ifade olarak derleyen başka Ruby uygulamalarının da bu sürümlere geçmesi gerekiyor.
Aynı sürümdeki diğer yüksek önemli düzeltmeler
Yama sürümü yalnız bu açığı kapatmıyor. GitLab’ın tablosuna göre aynı sürümde beş yüksek önem dereceli açık daha var: sözdizimi vurgulamada siteler arası betik çalıştırma, aşağı akış (downstream) pipeline oluşturma hizmetinde yetkilendirme eksikliği, depo dosya erişiminde fazla izin veren düzenli ifade, zamanlanmış pipeline yürütme politikasında yetkilendirme hatası ve GitLab Duo Agent Platform’da yapay zekâ komut girdisinin yetersiz arındırılması. Hepsi aynı yükseltmeyle kapanıyor.
