GitLab CVE-2026-110264: GitLab 7.0'a Kadar Uzanan CVSS 10 Kimlik Doğrulamasız RCE 10-22-2026, 08:15 AM
Selamlar,
Self-managed GitLab çalıştıranlar için kötü haber: GitLab 21 Ekim 2026'da yayınladığı kritik yama sürümünde CVE-2026-110264 numaralı, CVSS 3.1 puanı 10.0 olan bir açığı kapattı. Açık, belirli koşullar altında kimlik doğrulaması olmayan bir kullanıcının GitLab sunucusunda kod çalıştırmasına izin veriyor. Daha da önemlisi etkilenen aralık GitLab 7.0'dan (2014) başlıyor.
Konuda anlatılacaklar
- Açığın kaynağı: düzenli ifade (regex) derleyicisinde tamsayı taşması
- Etkilenen ve düzeltilen sürümler
- 12 Ekim'de yama yapanlar neden yine risk altında?
- Aynı sürümde kapatılan diğer açıklar
- Yükseltme ve tespit önerileri
Açık ne?
GitLab'ın resmi duyurusuna göre sorun, özel hazırlanmış bir düzenli ifadenin derlenmesi sırasında oluşan tamsayı taşması (integer overflow). Carthage Electronics'in özetine göre derleyici, GitLab'ın kendi paketlerinde taşıdığı ve yamaladığı Ruby'nin yerleşik Onigmo motoru; bu yüzden açık 7.0'dan beri tüm sürümlerde bulunuyor. GitLab "belirli koşullar"ın ne olduğunu açıklamadı, geçici çözüm (workaround) sunmadı ve istismar bildirilmediğini söyledi. Açığı HackerOne üzerinden joaxcar bildirdi.
CVSS vektörü: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - ağ üzerinden, düşük karmaşıklıkla, yetki ve kullanıcı etkileşimi gerektirmeden, kapsam değiştiren ve gizlilik/bütünlük/erişilebilirliği tamamen etkileyen bir senaryo.
Etkilenen ve düzeltilen sürümler
Kod:
Etkilenen: 7.0 - 18.11.12
19.0 < 19.0.10
19.1 < 19.1.9
19.2 < 19.2.9
19.3 < 19.3.6
19.4 < 19.4.3
19.5 < 19.5.1
Düzeltilen: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.1312 Ekim'de yamaladım, güvende miyim?
Hayır. TrustList ve Carthage'a göre bu ay ikinci maksimum puanlı regex açığı; ilki CVE-2026-97229 idi. 12 Ekim'de o açık için güncellenen sunucular bu yeni açığa karşı yine savunmasız; yeni düzeltmeler bir patch üstte. Kısacası "bu ay bir kere güncelledik" rahatlığı burada işe yaramıyor.
Aynı sürümde kapatılan diğer açıklar
Release Alert'in NVD'den derlediği listeye göre aynı paket şu açıkları da kapatıyor (seçmeler):
- CVE-2026-15723 (8.2, HIGH): OmniAuth SAML ve LDAP otomatik bağlama birlikte açıkken, kimliği doğrulanmış bir kullanıcının LDAP destekli mevcut bir hesabı ele geçirebilmesi.
- CVE-2026-16255 (5.9): SAML/LDAP üyelik kilidi açıkken, kilitten önce oluşturulmuş isteklerle kimlik sağlayıcı denetimi dışında üyelik verilebilmesi.
- CVE-2026-12664 (6.8): read_api kapsamlı token ile GraphQL üzerinden kapsam dışı işlem.
- CVE-2026-105777 (4.3): Kimliği doğrulanmamış kullanıcının dahili yanıt başlıkları üzerinden hassas sunucu kimlik bilgilerine erişebilmesi.
Yükseltme planı
- Admin -> Overview -> Dashboard veya /help sayfasından tam sürümü not edin.
- Önce yedek: gitlab-backup create ve /etc/gitlab/gitlab-secrets.json ile gitlab.rb dosyalarını ayrı bir yere kopyalayın.
- Dalınıza uygun düzeltilmiş sürüme geçin. Carthage'a göre 19.4.3 ve 19.3.6 veritabanı migration'ı içeriyor; tek düğümlü kurulumlarda kesinti planlayın.
- Hemen yükseltemiyorsanız instance'ı internetten çekin (VPN veya IP allow-list).
Kod:
# Omnibus kurulumda sürüm ve yedek (kendi sunucunuz)
sudo gitlab-rake gitlab:env:info | grep -i "GitLab information" -A3
sudo gitlab-backup create
sudo cp /etc/gitlab/gitlab-secrets.json /etc/gitlab/gitlab.rb /root/gitlab-yedek/
# Debian/Ubuntu örneği: belirli sürüme yükseltme
sudo apt-get update && sudo apt-get install gitlab-ee=19.5.1-ee.0Tespit tarafı
GitLab, self-managed müşteriler için iki tehdit tespiti yayınladı: Onigmo native worker crash ve Org mode render error burst. Bunları SIEM tarafında devreye alıp Ekim başından bu yana worker çökmelerine geriye dönük bakmanızı öneririm. Tek başına çökme saldırı anlamına gelmez; ama yama öncesi dönemde ani artış inceleme sebebidir.
Değerlendirme
Kaynak kodu, CI sırları ve deploy anahtarlarını barındıran bir GitLab sunucusu, ele geçirildiğinde tüm yazılım tedarik zincirinizi etkiler. CVSS 10 + kimlik doğrulamasız + geçici çözüm yok kombinasyonu bu yamayı "bu hafta" değil "bugün" kategorisine koyuyor.
Sizin ekipte GitLab hangi sürümde, Ekim ayında kaç kez acil güncelleme yaptınız? Deneyimlerinizi yazın.
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar