CISA, istismar edilen GitLab RCE ve Cisco DoS açıklarını KEV’e ekledi

CISA, aktif istismar kanıtı gerekçesiyle CVE-2026-97229 kodlu GitLab açığını ve Cisco ASA ile FTD yazılımlarını etkileyen CVE-2026-76418’i KEV (Known Exploited Vulnerabilities) kataloğuna ekledi. GitLab Community Edition ve Enterprise Edition’daki açığın CVSS puanı 10.0. Alpine Linux, 20 ve 21 Ekim 2026’da kendi GitLab sunucusunu hedef alan başarısız bir exploit girişimini kamuoyuyla paylaştı.

GitLab açığı neden self-hosted kurulumu olanları ilgilendiriyor

CVE-2026-97229 bir integer overflow hatası ve sonucu RCE (Remote Code Execution). Saldırgan, CI/CD yapılandırmasına koyduğu özel bir regular expression ile GitLab sunucusunda kod çalıştırabiliyor. Kaynağa göre authentication gerekmiyor. Bir GitLab sunucusu kaynak kodu, runner token’larını ve CI secret’larını bir arada tutar. Bu yüzden ele geçirilen bir instance doğrudan tedarik zinciri sorunu olur.

Kaynak etkilenen ya da yamalı sürüm aralığı vermiyor. CE ve EE iki sürüm de etkileniyor. GitLab.com’un durumuna kaynak değinmiyor.

Alpine Linux olayından çıkan tespit izleri

Saldırgan özel CI yapılandırmaları gönderdi ve GitLab worker süreçleri sekiz kez çöktü. Yani nedeni belirsiz, tekrarlayan worker çökmeleri bu GitLab açığının denendiğine işaret edebilir. Saldırgan Alpine’in GitLab container image’ını da indirdi. Alpine başarılı bir sızma kanıtı bulmadı ama sunucuyu sıfırdan kurdu.

Yapılacaklar

1. Sürümünüzü GitLab’ın kendi güvenlik bildirimiyle karşılaştırıp yamalı sürüme geçin. FCEB kurumları için son tarih 1 Kasım 2026, yani yarın.
2. Yama gecikecekse GitLab’ı internetten erişilemez hale getirin; VPN ya da firewall arkasına alın.
3. 20 Ekim sonrasındaki log’larda worker çökmelerini ve tanımadığınız kaynaklardan gelen CI yapılandırmalarını arayın.
4. Şüphe varsa runner token’larını, secret’ları ve deploy anahtarlarını yenileyin. Sunucuyu yeniden kurmayı da değerlendirin; bu GitLab açığında iz bırakmayan bir sızma ihtimali kapanmış değil.
5. Cisco ASA ve FTD için CVE-2026-76418 (CVSS 8.6) authentication gerektirmeden cihazı uzaktan yeniden başlatıyor. Sonucu veri sızıntısı değil, kesinti. Cisco’nun yamasını uygulayın ve beklenmedik reload kayıtlarını izleyin.

CVE kaydı: CVE-2026-97229