GitLab CVSS 10.0 RCE Açığı: CVE-2026-110264 ve Yama Sürümleri

GitLab, 21 Ekim’de self-managed sunucularda giriş yapmadan kod çalıştırılmasına izin verebilecek kritik bir açığı yamaladı. CVE-2026-110264 olarak takip edilen açık, CVSS ölçeğinde alabileceği en yüksek puanı, yani 10.0’ı taşıyor ve 2014’te yayınlanan 7.0 sürümünden itibaren tüm sürümleri etkiliyor.

Üstelik 12 Ekim’de güncelleme yapmış olmanız sizi korumuyor olabilir. Bu yazıda açığın ne olduğunu, hangi sürüme geçmeniz gerektiğini ve neleri kontrol etmeniz gerektiğini anlatacağım. Ayrıntılar için The Hacker News haberine da göz atabilirsiniz.

CVE-2026-110264 Nedir?

GitLab’ın açıklamasına göre bazı koşullar altında kimliği doğrulanmamış bir kullanıcı, sunucuda rastgele kod çalıştırabiliyor (Remote Code Execution – RCE). Sebep, özel hazırlanmış bir düzenli ifadenin (regular expression) derlenmesi sırasında oluşan bir integer overflow.

Burada kritik bir belirsizlik var: GitLab bu “bazı koşulların” ne olduğunu açıklamadı. Yani saldırganın derleyiciye ulaşmak için neye ihtiyaç duyduğunu bilmiyoruz.

Şirket, açığın saldırılarda kullanıldığına dair bir işaret olmadığını söylüyor. Açık, 22 Ekim itibarıyla ABD CISA’nın bilinen istismar edilen açıklar kataloğunda da yer almıyor.

Açık Neden 12 Yıl Geriye Gidiyor?

Sorunlu bileşen, Ruby’nin yerleşik düzenli ifade motoru olan Onigmo. GitLab bu motoru kendi paketlerinin içinde dağıtıyor ve kendi build’lerinde yamalıyor. Motordaki zafiyet, GitLab’ın onu gönderdiği her yerde mevcut. Bu da 7.0’dan bu yana çıkan her sürüm demek.

Bu, üst üste gelen ilk açık değil. Aynı araştırmacı (joaxcar takma adıyla), düzenli ifade motorunda bir ay içinde dördüncü kod çalıştırma açığını bildirdi:

• 23 Eylül: CVE-2026-93577 ve CVE-2026-89078, ikisi de 9.9, ikisi de oturum açmış hesap gerektiriyor
• 12 Ekim: CVE-2026-97229, kimlik doğrulamasız 10.0 overflow, 19.2.8, 19.3.5 ve 19.4.2 sürümlerinde düzeltildi
• 21 Ekim: CVE-2026-110264, yine 10.0

İlk üçü 19.2 sürümünde duruyordu. Bu açık durmuyor. 19.2’den öncesine de uzanan ilk açık bu.

Hangi Sürüme Yükseltmelisiniz?

GitLab açığı tek seferde yedi sürümde düzeltti. Kullandığınız hatta göre hedef sürüm şöyle:

• 19.5 hattı, 19.5.1 öncesi: 19.5.1
• 19.4 hattı, 19.4.3 öncesi: 19.4.3
• 19.3 hattı, 19.3.6 öncesi: 19.3.6
• 19.2 hattı, 19.2.9 öncesi: 19.2.9
• 19.1 hattı, 19.1.9 öncesi: 19.1.9
• 19.0 hattı, 19.0.10 öncesi: 19.0.10
• 7.0 ile 18.11 arası, 18.11.13 öncesi: 18.11.13

GitLab’ın normal politikası, güncel sürümü ve önceki iki aylık sürümü yamalamak. Bugün bunlar 19.5, 19.4 ve 19.3. Yani dört sürüm, politikanın dışında. 18.11.13, 19.0.10, 19.1.9 ve 19.2.9 için GitLab ek olarak backport yaptı. Bu adımı yalnızca ciddi açıklar için atıyor.

12 Ekim Yamasını Uyguladıysanız

İşte asıl tuzak burada. 12 Ekim güncellemesi yalnızca 19.2 ve sonrasını kapsıyordu. Yeni düzeltilmiş sürümler ise o yamanın bir patch üstünde duruyor. Dokuz gün önce güncelleme yapmış bir instance, bu yüzden yeniden etkilenen aralığa düşüyor.

Kısacası, “geçen hafta yamaladık” demek bu açık için yeterli değil.

Saldırı Var mı? Tespit Nasıl Yapılır?

GitLab, self-managed yöneticiler için iki tespit kuralı yayınladı: “Onigmo native worker crash” ve “Org mode render error burst”. Bunlar GitLab’ın açık kaynak TLDR framework’ünün parçası. Her kural, GitLab’ın kendi uygulama logları üzerinde çalışan Sigma formatında yazılmış.

⚠️ Bu kurallar yalnızca saldırı girişimlerini aramanıza yardım eder. Koruma sağlamaz. GitLab’ın advisory’si herhangi bir geçici çözüm (workaround) sunmuyor. Ayrıca ön koşullar bilinmediği için yapılandırmanıza bakıp “bende yok” demeniz de mümkün değil. Kesin koruma, yamalı sürüme geçmek.

Aynı Güncellemedeki Diğer Açıklar

21 Ekim sürümü toplam 11 güvenlik sorununu düzeltiyor: biri kritik, geri kalanı high, medium ve low. Kimlik doğrulama tarafında iki tanesi dikkat çekiyor:

• CVE-2026-15723 (High, 8.2): Oturum açmış bir kullanıcının başka bir hesabı ele geçirmesine izin verebilir. Ancak yalnızca yönetici hem SAML hem LDAP auto-linking’i etkinleştirmişse
• CVE-2026-112212 (High, 7.5): OAuth ve OpenID Connect uç noktalarında cache poisoning. Saldırgan, paylaşımlı cache kullanan kurulumlarda bazı giriş akışlarını kendi sunucusuna yönlendirebilir

Kimleri Etkiler / Ne Yapmalı?

Yalnızca self-managed kurulumlar etkileniyor. GitLab.com zaten düzeltilmiş sürümü çalıştırıyor. GitLab Dedicated tenant’ları da 19.3.5-internal0 ve 19.4.2-internal0 veya üzerindeyse yamalı durumda.

Kendi sunucunuzda GitLab çalıştırıyorsanız şu adımları izleyin:

Adım 1 — Sürümünüzü ve hattınızı belirleyin. 12 Ekim’de güncelleme yaptıysanız bile yukarıdaki listeye bakın.

Adım 2 — Hattınıza karşılık gelen sürüme yükseltin. Örneğin 19.4 kullanıyorsanız 19.4.3’e, 7.0 ile 18.11 arasındaysanız 18.11.13’e geçin.

Adım 3 — Tespit kurallarını devreye alın. “Onigmo native worker crash” ve “Org mode render error burst” kurallarını loglarınıza karşı çalıştırın.

Adım 4 — Diğer açıkları da gözden geçirin. SAML ve LDAP auto-linking ile paylaşımlı cache kullanıyorsanız, CVE-2026-15723 ve CVE-2026-112212 sizi de ilgilendirebilir.

ℹ️ Önemli Not: 19.4.3 ve 19.3.6 sürümleri, yükseltme sırasında çalışan veritabanı değişiklikleri içeriyor. Tek node’lu bir sunucuda bu, işlemler bitene kadar kesinti demek. GitLab, çok node’lu kurulumların yamayı zero-downtime prosedürüyle kesintisiz uygulayabileceğini söylüyor. Bakım penceresini buna göre planlayın.