GitLab CI/CD açığı CVE-2026-97229 saldırılarda kullanılıyor
CVE-2026-97229, GitLab sunucularında authentication olmadan kod çalıştırılabilen bir açık. CISA aktif istismarı doğruladı; 19.4.2, 19.3.5 ve 19.2.8 yamalı.
GitLab’ın CI/CD Regular Expression Compiler bileşenindeki CVE-2026-97229 açığı, CISA’ya göre saldırılarda aktif olarak kullanılıyor. Integer overflow kaynaklı açıkla, authentication olmadan GitLab sunucusunda kod çalıştırılabiliyor. Yamalar CE ve EE için 19.4.2, 19.3.5 ve 19.2.8 sürümlerinde geldi. CISA açığı KEV kataloğuna ekledi ve federal kurumlara Pazar gününe kadar süre verdi.
CVE-2026-97229, pipeline yapılandırma dosyalarındaki regular expression’ları işleyen bileşende bulunuyor. Özel hazırlanmış bir regex, integer overflow üzerinden RCE (Remote Code Execution) açığına dönüşüyor. GitLab sunucusu CI/CD variable’larını, deploy token’larını ve kaynak kodu bir arada tutuyor. Bu yüzden sunucunun ele geçirilmesi doğrudan tedarik zinciri riski demek.
CVE-2026-97229 kimleri etkiliyor
Yamalı sürümler GitLab CE ve EE için 19.4.2, 19.3.5 ve 19.2.8. Kaynak, etkilenen sürüm aralığının alt sınırını vermiyor. Bu üç dalın daha eski sürümlerini açık kabul edin. Shadowserver internete açık yaklaşık 2.800 GitLab CE kurulumu sayıyor, ama kaçının yamalı olduğunu bilmiyoruz.
Ne kadar ciddi
Kaynak CVSS puanı vermiyor, açığı en yüksek önem derecesinde tanımlıyor. GitLab’ın bildirimine göre exploit için authentication gerekmiyor. Yine de bildirimde “under certain conditions” kaydı var ve bu koşullar açıklanmıyor. CISA aktif kullanımı doğruladı ve CVE-2026-97229’u KEV (Known Exploited Vulnerabilities) kataloğuna ekledi. Yani yamayı planlı bakıma bırakmak için bir gerekçe kalmadı.
Yapılacaklar
- Kurulu sürümü kontrol edin:
sudo gitlab-rake gitlab:env:info- Kullandığınız dala göre 19.4.2, 19.3.5 ya da 19.2.8 veya üstüne geçin.
- Self-managed kurulumlarda GitLab’ın yayımladığı threat detection’ları devreye alın. Yama öncesi döneme ait log’ları da tarayın.
- Yamayı hemen yapamıyorsanız GitLab’ı internetten çekip VPN arkasına alın. Kaynak resmî bir geçici azaltma yöntemi vermiyor.
- Şüpheli bir iz bulursanız runner token’larını, CI/CD variable’larını ve erişim token’larını yenileyin. Aynı ay yamalanan CVE-2026-110264 ve CVE-2026-85706 için de sürümünüzü doğrulayın.
