GitLab'de Kritik Uzaktan Kod Yürütme Zafiyeti: CVE-2026-97229

GitLab, Community Edition ve Enterprise Edition sürümlerini etkileyen ve CVE-2026-97229 koduyla izlenen kritik bir zafiyeti gidermek için acil bir yama yayınladı. CVSSv3.1 ölçeğinde en yüksek seviye olan 10.0 puanını alan bu açık, CI/CD düzenli ifade derleyicisindeki bir tam sayı taşması (CWE-190) hatasından kaynaklanıyor. Bu zafiyet, saldırganların özel olarak hazırlanmış bir yapılandırma dosyası aracılığıyla hedef sunucuda keyfi kod çalıştırmasına zemin hazırlıyor.

Rapid7 araştırmacıları tarafından bağımsız olarak doğrulanan bu güvenlik açığı, özellikle kendi sunucularını yöneten (self-managed) kullanıcıları doğrudan ilgilendiriyor. Saldırganların bu zafiyeti sömürebilmesi için bir depoya kötü niyetli bir CI/CD yapılandırması yükleyebilmesi gerekiyor. Özellikle yeni kullanıcı kayıtlarına ve proje oluşturma işlemlerine izin veren GitLab örneklerinde, bu kısıtlama ortadan kalktığı için risk seviyesi daha da artıyor. Şu an için zafiyetin vahşi doğada aktif olarak sömürüldüğüne dair bir kanıt bulunmasa da, açığın uzaktan tetiklenebilir olması nedeniyle acil önlem alınması tavsiye ediliyor.

GitLab.com hizmeti halihazırda yamalanmış durumda ve GitLab Dedicated müşterilerinin herhangi bir işlem yapmasına gerek bulunmuyor. Yama uygulanana kadar geçici bir önlem olarak, anonim erişimlerin kısıtlanması ve güvenilmeyen kullanıcıların halka açık projeler oluşturmasının engellenmesi, saldırı yolunu daraltmak adına tercih edilebilir.

İlginizi çekebilir · Siber GüvenlikFlock, Kendi Ürünleri İçin CVE Yayınlama Yetkisi Aldı