GitLab, CVSS 10.0 Güvenlik Açığını Kapatmak İçin Yamanladı

GitLab, Community Edition (CE) ve Enterprise Edition (EE) yazılımlarında bulunan ve kimlik doğrulaması yapılmamış kullanıcıların sunucu üzerinde rastgele kod çalıştırmasına olanak tanıyabilecek yüksek şiddette bir güvenlik açığını kapatmak için yamanlar yayınladı. Bu güvenlik açığı, belirli koşullar altında, CI/CD yapılandırmasında özel olarak hazırlanmış bir düzenli ifade aracılığıyla gerçekleşebiliyordu. Şirket, bu konuda bir bilgilendirme yaparak, yetersiz düzenli ifade doğrulaması nedeniyle bu sorunun ortaya çıktığını belirtti.

CVE-2026-97229 Açığı ve Etkilediği Sürümler

Söz konusu güvenlik açığı, CVE-2026-97229 olarak takip ediliyor ve bir tam sayı taşması (integer overflow) sorunu olarak tanımlanıyor. Bu açığın CVSS (Common Vulnerability Scoring System) puanı 10.0 olarak belirlenmiş. Aşağıdaki sürümler bu güvenlik açığından etkileniyor:

• 19.2 sürümünden önceki tüm sürümler 19.2.8 dahil
• 19.3 sürümünden önceki tüm sürümler 19.3.5 dahil
• 19.4 sürümünden önceki tüm sürümler 19.4.2 dahil

Bu açığı gidermek için yamanlar, 19.4.2, 19.3.5 ve 19.2.8 sürümlerinde mevcut.

Diğer Yüksek Şiddetteki Güvenlik Açıkları

GitLab ayrıca, üç yüksek şiddette güvenlik açığını daha kapattı:

• CVE-2026-92883 (CVSS puanı: 8.7): Kimlik doğrulaması yapılmış bir kullanıcının, özel olarak hazırlanmış bir depo aracılığıyla diğer kullanıcıların tarayıcı oturumlarında rastgele JavaScript çalıştırmasına olanak tanıyan bir çapraz site betiği (XSS) açığı.
• CVE-2026-16301 (CVSS puanı: 8.5): Geliştirici rolüne sahip bir kullanıcının, korunan dallarda CI/CD boru hatlarını çalıştırmasına izin veren uygunsuz yetkilendirme açığı.
• CVE-2026-14814 (CVSS puanı: 8.2): Kullanıcıların, ham depo dosyaları için önbelleğe alınmış yanıtları zehirlemesine neden olabilecek bir düzenli ifade açığı.

Önceki Açıklar ve Kullanıcı Güvenliği

Bu açıklama, GitLab'ın birkaç hafta önce AI Gateway'de (CVE-2026-90970, CVSS puanı: 9.9) kritik bir açığı kapattıktan sonra geldi. Bu açığın, kimlik doğrulaması yapılmış bir kullanıcının, özel bir akış yapılandırması aracılığıyla komut yürütmesine olanak tanıdığı bildirilmişti. Ayrıca, geçen ay GitLab CE ve EE'de (CVE-2026-85706, CVSS puanı: 10.0) başka bir yüksek şiddette güvenlik açığı tespit edilmiş ve bu açık, kamuya açıklanmasından birkaç saat sonra kötüye kullanım girişimlerine maruz kalmıştı.

Sonuç olarak, GitLab kullanıcıları için güvenlik önlemlerini artırmak adına bu yamaların uygulanması kritik önem taşıyor. Kullanıcıların, yazılım güncellemelerini takip etmeleri ve en son sürümlere geçiş yapmaları, potansiyel tehditlere karşı korunmalarını sağlayacaktır.