GitLab, CI/CD altyapısındaki düzenli ifade derleyicisinde uzaktan saldırganların sunucularda kod çalıştırmasına yol açabilecek kritik güvenlik açığı için acil güncelleme uyarısı yayınladı. CVE-2026-97229 kimliğiyle izlenen güvenlik sorunu, özel hazırlanmış düzenli ifade üzerinden kimlik doğrulaması gerektirmeden istismar edilebiliyor. Şirket, açığı GitLab Community Edition (CE) Enterprise Edition (EE) sürümlerinde giderirken kendi sunucularını yöneten kuruluşlara yamalı sürümlere geçmeleri çağrısında bulundu.
CVE-2026-97229 GitLab CI/CD Altyapısını Nasıl Etkiliyor?GitLab’daki kritik güvenlik açığı, CI/CD işlem hatlarının yapılandırma dosyalarındaki düzenli ifadeleri işleyen derleyicide ortaya çıkıyor. CVE-2026-97229 olarak kaydedilen sorun, tamsayı taşması olarak bilinen integer overflow zafiyetinden kaynaklanıyor. Yetersiz düzenli ifade doğrulamasıyla birleşen hata, saldırganların özel hazırlanmış ifadeyi kullanarak hedef sunucuda rastgele kod çalıştırmasına kapı aralayabiliyor.
Güvenlik araştırmacısı joaxcar, açığı GitLab’ın HackerOne hata ödül programı üzerinden bildirdi. Şirketin güvenlik duyurusuna göre saldırı senaryosu, hedef sistemde önceden kullanıcı hesabı bulunmasını gerektirmiyor. Dolayısıyla internete açık, savunmasız kendi altyapısında barındırılan GitLab kurulumları açısından risk, yalnızca yetkili kullanıcıların gerçekleştirebileceği işlemlerle sınırlı kalmıyor.
CI/CD sistemleri, kodunun derlenmesi, test edilmesi dağıtıma hazırlanması gibi yazılım geliştirme adımlarını otomatikleştiriyor. Saldırganın böyle sunucuda kod çalıştırması, sistemin izinlerine yapılandırmasına bağlı olarak geliştirme süreçlerini, erişilebilir verileri bağlı altyapıları tehlikeye atabilir.
GitLab, açığı üç ana sürüm dalında yayınlanan güvenlik güncellemeleriyle giderdi. Kurumların kullandıkları sürüm dalına uygun düzeltilmiş sürüme geçmesi gerekiyor.
Etkilenen sürüm dalıDüzeltilmiş sürümGitLab 19.219.2.8 üzeriGitLab 19.319.3.4 üzeriGitLab 19.419.4.2 üzeriGüvenlik güncellemesi hem Community Edition hem Enterprise Edition için geçerli. GitLab, kendi sunucularını yöneten müşterilerine yamalı sürümlerden birine vakit kaybetmeden yükseltme yapmalarını öneriyor.
GitLab. hizmetinin düzeltilmiş sürüme geçirildiği belirtilirken GitLab Dedicated müşterilerinin ayrıca işlem yapmasına gerek olmadığı ifade ediliyor. Kendi sunucusunu yöneten işletmelerin ise kurulu sürümü kontrol etmesi, uygun yamayı uygulaması güncellemenin tamamlandığını doğrulaması gerekiyor.
GitLab’ın son aylarda ele aldığı güvenlik sorunları, DevSecOps platformlarını yöneten ekiplerin güncelleme süreçlerini yakından mesi gerektiğini ortaya koyuyor. Şirket, ocak ayında CVE-2026-0723 numaralı yüksek önem dereceli iki faktörlü kimlik doğrulama atlatma açığını gidermişti. Saldırganların hedef hesabın kimliğini bilmeleri durumunda kimlik doğrulama korumasını aşabilmesine yol açan söz konusu sorun, Community Edition Enterprise Edition sunucularını etkiliyordu.
Geçen ay giderilen CVE-2026-85706 ise kimlik doğrulaması yapmayan saldırganların savunmasız GitLab sunucularındaki kimlik bilgileri gizli verilere erişmesine neden olabiliyordu. ABD Siber Güvenlik Altyapı Güvenliği Ajansı (CISA), gün sonra söz konusu açığı aktif olarak istismar edilen güvenlik kusurları kataloğuna ekledi federal kurumlara sistemlerini üç gün içinde güvenceye almaları talimatını verdi.
CISA’nın kasım 2021’den yana saldırılarda kullanıldığı belirtilen beş GitLab güvenlik açığını kataloğuna dahil etmesi, platformdaki zafiyetlerin yalnızca teorik risk oluşturmadığını gösteriyor. Önceki açıklamalarda, söz konusu açıklar arasındaki güvenlik kusurunun fidye yazılımı grupları tarafından kullanıldığı belirtilmişti.
İşletmeler GitLab Sunucularını Nasıl Koruyabilir?GitLab kullanan kuruluşların ilk adım olarak kurulum türünü sürüm numarasını belirlemesi gerekiyor. Kendi altyapısında GitLab çalıştıran ekipler, ilgili güvenlik duyurusundaki sürüm gereksinimlerini kontrol ederek güncellemeyi önceliklendirmeli. Kuruluşların ayrıca CI/CD işlem hatlarını, erişim izinlerini güvenlik kayıtlarını incelemesi, olası şüpheli etkinlikleri tespit etmeye yardımcı olabilir.
Yazılım geliştirme ortamları çoğu zaman kodu depolarına, derleme sistemlerine, dağıtım araçlarına gizli anahtarlara erişebiliyor. nedenle CI/CD sunucusundaki uzaktan kod çalıştırma açığı, yalnızca ilgili uygulamayla sınırlı kalmayan sonuçlar doğurabilir. En az ayrıcalık ilkesi, ağ erişiminin sınırlandırılması kimlik bilgilerinin güvenli biçimde yönetilmesi, güncellemelere ek koruma katmanları sağlıyor.
GitLab’ın milyonlarca kayıtlı kullanıcıya Fortune 100 şirketlerinin yarısından fazlasına hizmet verdiğini açıklaması, platformun kurumsal yazılım geliştirme ekosistemindeki geniş kullanım alanını ortaya koyuyor. Nvidia, T-Mobile, Lockheed Martin, Airbus Goldman Sachs gibi şirketlerin platformu kullanan kuruluşlar arasında sayılması, güvenlik yamalarının kurumsal operasyonlar açısından önemini artırıyor. Savunmasız kurulumların güncellenmesi, CVE-2026-97229 kaynaklı riskin azaltılmasında öncelikli adım olarak öne çıkıyor.
