GitLab CVE-2026-97229: CI/CD yapılandırmasıyla uzaktan kod çalıştırma açığı

GitLab, kodun saklandığı, derlendiği ve yayına alındığı CI/CD altyapısının merkezinde duruyor. Bu yüzden içindeki bir açık, sıradan bir web uygulamasındaki açığa göre çok daha fazla şey anlatır. CVE-2026-97229 tam da bu türden bir açık: belirli koşullarda, kimliği doğrulanmamış bir saldırgan GitLab sunucusunda kod çalıştırabiliyor.

Kısa cevap: GitLab CE ve EE’deki CVE-2026-97229 açığı CVSS 10.0 ile kritik seviyede. Belirli koşullarda, CI/CD yapılandırmasına hazırlanmış bir düzenli ifade (regular expression) yerleştiren kimliği doğrulanmamış bir saldırgan, sunucuda kod çalıştırabilir. Düzeltilmiş sürümler 19.2.8, 19.3.5 ve 19.4.2’dir; kaynaklarda doğrulanmış bir geçici çözüm yok, bu yüzden önerilen yol yükseltmek. CISA bu açığı 29 Ekim 2026’da aktif istismar listesine (KEV) ekledi.

Ne oldu?

Açığın kökü, GitLab’ın CI/CD yapılandırmasındaki kullanıcı tanımlı düzenli ifadeleri derlerken kullandığı Ruby’nin düzenli ifade motoru Onigmo’da. Sorun bir tamsayı taşması (integer overflow). Bir sayı, tutulabileceği üst sınırı aşınca başa sarar ve bellek hesapları yanlış çıkar. Bu tür hatalar bellek bozulmasına yol açabilir; GitLab bunun kod çalıştırmaya dönüşebileceğini belirtiyor. Zayıflık sınıflandırması CWE-190.

Ruby’nin düzenli ifade motorundaki bu hatayı GitLab bulup Ruby ekibine bildirdi ve düzeltmeyi koordine etti. GitLab, kendi sevk ettiği Ruby’yi yamalayarak sorunu kendi sürümlerinde giderdi. Ruby ekibi bu düzeltmeler için henüz CVE talep etmedi; izleme için GitLab’ın CVE numaraları kullanılıyor.

Açık NVD’ye 13 Ekim 2026’da girdi. Bu tarihten bugüne 24 gün geçti. Açık eski, ama saldırılarda kullanıldığı yakın zamanda doğrulandı: CISA 29 Ekim 2026’da KEV listesine ekledi ve son tarihi 1 Kasım 2026 olarak belirledi.

Kimler etkileniyor?

Özellik	Bilgi
CVE kimliği	CVE-2026-97229
Ürün	GitLab Community Edition (CE) ve Enterprise Edition (EE)
Etkilenen sürümler	19.2 ile 19.2.8 öncesi; 19.3 ile 19.3.5 öncesi; 19.4 ile 19.4.2 öncesi
Düzeltilen sürümler	19.2.8, 19.3.5, 19.4.2
CVSS puanı	10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
Önem derecesi	Kritik
Zayıflık türü	CWE-190 (Integer Overflow veya Wraparound)
NVD yayın tarihi	13 Ekim 2026
CISA KEV’e eklenme	29 Ekim 2026
CISA son tarihi	1 Kasım 2026
Fidye yazılımı kullanımı	Bilinmiyor (KEV kaydında “Unknown”)

GitLab.com kullanıyorsan platform tarafındaki sunucular zaten yamalı sürümde çalışıyor. GitLab Dedicated kiracıları da yama sürümü yayımlanmadan önce dahili bir sürümle yamalanmış. Asıl yükümlülük, kendi sunucusunda GitLab çalıştıran ekiplerde.

Ne yapmalısın?

1. Sürümünü kontrol et. Omnibus kurulumunda sudo gitlab-rake gitlab:env:info komutu GitLab sürümünü gösterir. Yönetici panelindeki sürüm bilgisi de aynı işi görür.
2. Etkilenen aralıkta mısın, bak. 19.2.8’den, 19.3.5’ten veya 19.4.2’den eski bir sürümdeysen açık senin sunucunu etkiliyor demektir.
3. Hemen yükselt. Kurulum yöntemine göre (Omnibus paketi, Docker imajı veya Helm) düzeltilmiş sürüme geç. Yükseltme adımlarını GitLab’ın kendi kurulum yöntemine ait dokümanından izle; adımlar yönteme göre değişir.
4. Geçici çözüm arama. Yama sayfasında doğrulanmış bir geçici çözüm yok. Yükseltemiyorsan, GitLab’a erişimi VPN ya da IP kısıtlamasıyla sınırla. Bu bir çözüm değil, zaman kazanma yolu.
5. Tespit kurallarını uygula. GitLab, self-managed kurulumlar için altı tespit kuralı yayımladı. Bunları günlük kaynağına uygula.
6. Şüphe varsa incele. Son CI/CD yapılandırma değişikliklerini ve GitLab günlüklerini gözden geçir. CISA’nın KEV notu forensik triyaj gerekliliklerine atıf yapıyor; bu kontrolleri bir güvenlik uzmanıyla birlikte yapmak daha sağlıklı olur.

Sık sorulan sorular

Beni etkiliyor mu?

Kendi sunucunda GitLab CE veya EE çalıştırıyorsan ve sürümün yukarıdaki aralıktaysa, evet. GitLab.com kullanıyorsan platform tarafı yamalı; yine de kendi tarafındaki sürüm bilgilerini kontrol et.

CVSS 10.0 kadar yüksek, bu gerçekten bu kadar önemli mi?

Evet. Puan en yüksek seviyede ve açık aktif istismar listesinde. “Sonra bakarız” demek yerine bugün sürüm kontrolü yapmak doğru adım.

Hemen güncelleyemezsem ne yapmalıyım?

Doğrulanmış bir geçici çözüm kaynaklarda yok. GitLab’ı internete açık bırakma, erişimi kısıtla ve güncellemeyi bir takvime bağla. CISA’nın son tarihi 1 Kasım 2026 olarak belirlediğini unutma.

Kaynaklar

• NVD kaydı: CVE-2026-97229
• CISA KEV kataloğu
• GitLab kritik yama sürümü: 19.4.2, 19.3.5, 19.2.8
• Ruby haberi: GitLab CVE’leri için düzenli ifade düzeltmeleri

Bu yazı 6 Kasım 2026’da CISA ve NVD kayıtlarına göre hazırlandı; yeni bilgi çıkarsa güncellenecek. Sunucu güncellemesi ve güvenlik bakımı için teklif formu üzerinden bana ulaşabilirsin.