GitLab CI/CD regex derleyicisindeki kritik RCE açığı CVE-2026-97229 saldırılarda kullanılıyor, CISA KEV'e ekledi
GitLab'ın CI/CD Regular Expression Compiler bileşenindeki integer overflow kaynaklı CVE-2026-97229, CISA tarafından aktif istismar edilen açıklar kataloğuna alındı; Shadowserver 1.000'i aşkın savunmasız self-managed kurulum görüyor.
CVE-2026-97229, CVE-2026-110264
CISA, GitLab'ın CI/CD hattında pipeline yapılandırma dosyalarındaki düzenli ifadeleri ayrıştırıp derleyen Regular Expression Compiler bileşeninde bulunan CVE-2026-97229 açığını, saldırılarda kullanıldığına dair kanıtlar üzerine Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. Integer overflow kaynaklı açık, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya (RCE) imkân tanıyor; bazı kaynaklar CVSS puanını 10.0 olarak veriyor. ABD federal kurumlarına sunucularını kısa sürede güvenceye alma talimatı verildi.
GitLab açığı 12 Ekim'de düzeltilmiş sürümlerle birlikte duyurmuştu; yani yama yaklaşık üç haftadır mevcut. Buna rağmen Shadowserver, internete açık 1.000'den fazla savunmasız GitLab kurulumu izlediğini bildiriyor. GitLab.com ve GitLab Dedicated müşterilerinin işlem yapmasına gerek yok; risk self-managed kurulumlarda. Kamuya açık bir PoC ya da üreticiden yayımlanmış IOC bulunmuyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| GitLab CE/EE (self-managed) | Üretici bildirimindeki liste | 19.4.2, 19.3.4, 19.2.8 |
| GitLab.com / GitLab Dedicated | — | Üretici tarafında yamalı |
Aynı bileşendeki ikinci bir hata, CVE-2026-110264, 21 Ekim'de ayrı bir sürümle düzeltildi. Kesin etkilenen sürüm aralıkları için GitLab'ın 12 ve 21 Ekim tarihli patch release duyurularına bakın.
Beni etkiliyor mu?
Self-managed (Omnibus) kurulumda çalışan sürümü öğrenmek için:
cat /opt/gitlab/embedded/service/gitlab-rails/VERSIONArayüzden: Admin Area › Dashboard › Components bölümünde GitLab sürümü görünür. Sürüm yukarıdaki düzeltilmiş sürümlerin altındaysa ve kurulum internete açıksa öncelikli risk altındasınız.
Ne yapılmalı?
- Self-managed GitLab'ı vakit kaybetmeden 19.4.2 / 19.3.4 / 19.2.8 veya daha yeni bir sürüme yükseltin; CVE-2026-110264 düzeltmesini de içeren 21 Ekim sonrası sürümü hedefleyerek iki açığı tek patch döngüsünde kapatın.
- Yükseltme hemen yapılamıyorsa GitLab arayüzünün internete açıklığını VPN veya IP kısıtlamasıyla daraltmayı değerlendirin; bu yalnızca riski azaltır, yamanın yerini tutmaz.
- 12 Ekim'den bu yana runner ve pipeline loglarında beklenmeyen job'ları, yeni eklenen kullanıcı ve token'ları, sunucuda olağandışı süreçleri gözden geçirin.
- Sunucuda bulunan CI/CD değişkenleri, deploy key'leri ve entegrasyon token'ları yüksek değerli hedeflerdir; istismar şüphesinde bunları rotate edin.
- Yükseltmeyi change management süreciyle planlayın; yedek alıp bakım penceresinde uygulayın.
