GitLab'ın regex derleyicisindeki 10.0'lık açık saldırı altında: 1.000'den fazla sunucu hâlâ korumasız

GitLab yamayı 12 Ekim'de yayınladı. Üç hafta sonra istismar sahada, ABD'nin siber kurumu federal kurumlara süre verdi ve Shadowserver'ın genel internet taraması hâlâ yamayı kurmamış binden fazla kendi sunucusunda çalışan GitLab örneği buluyor.

Açık CVE-2026-97229 ve CVSS puanı 10.0 — yani azami. GitLab'ın CI/CD Düzenli İfade Derleyicisi'nde bir tam sayı taşması: ekiplerin pipeline yapılandırmasına yazdığı düzenli ifadeleri ayrıştıran, derleyen ve değerlendiren bileşen. Derleyici girdisini yeterince doğrulamıyor ve özel hazırlanmış bir desen gönderen saldırgan, hiç kimlik doğrulamadan sunucuda rastgele kod çalıştırabiliyor.

Bu son ayrıntı, açığı "kötü bir hafta" değil 10.0 yapan şey. GitLab'ın kendi duyurusu, kimliği doğrulanmamış bir kullanıcının "CI/CD yapılandırmasında özel hazırlanmış bir düzenli ifade" ile rastgele kod çalıştırabildiğini söylüyor. Kimlik bilgisi yok, runner token'ı yok, depoya yazma yetkisi yok — saldırı yüzeyi pipeline tanımının kendisi. Taşmanın, Ruby ile gelen ve GitLab'ın bu desenleri derlemek için kullandığı Onigmo düzenli ifade motorunda olduğu bildiriliyor; derleme sırasında sarmalanan bir tam sayı bellek bozulmasına dönüşüyor ve örnekteki her depoyu, her CI değişkenini ve her dağıtım sırrını elinde tutan süreçteki bellek bozulması, kulağa geldiği kadar kötü.

Takvim kısa. GitLab düzeltilmiş sürümleri — Community ve Enterprise Edition için 19.4.2, 19.3.5 ve 19.2.8 — 12 Ekim'de yayınladı. GitLab.com zaten yamalıydı, GitLab Dedicated müşterilerinin yapması gereken bir şey yoktu. Cuma günü CISA istismarı doğruladı, CVE'yi Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi ve 26-04 sayılı Bağlayıcı Operasyonel Direktif uyarınca ABD federal kurumlarına pazar gününe kadar süre verdi.

Sonra Shadowserver internetin gerçekte nasıl göründüğünü yayımladı. Kâr amacı gütmeyen kuruluşun tarama projesi pazar günü, internete açık 1.000'den fazla GitLab örneğinin hâlâ CVE-2026-97229'a karşı savunmasız olduğunu bildirdi — ve aynı güncellemede 11.300'den fazla örneğin, GitLab'ın bir ay önce düzelttiği aynı derleyicideki azami ciddiyetteki CVE-2026-110264'e açık olduğunu. Payda, Shadowserver'ın günlük gördüğü yaklaşık 39.000 GitLab örneği. Alman yayın organı Golem.de daha büyük rakamı manşete taşıdı: ağda saldırılabilir durumda yaklaşık 11.000 GitLab örneği.

Aynı bileşende bir ay içinde iki tane on üzerinden on açık şanssızlık değil, tasarım sinyali. Düzenli ifade derleyicisi, bellek güvenliği sorunlarıyla dolu uzun bir geçmişe sahip bir ayrıştırıcıdır ve GitLab onu kimlik doğrulaması gerektirmeyen yapılandırma girdisinin yoluna koydu. İkinci hata birincinin varyantı mı, bağımsız bir yanlış mı — ders aynı: CI/CD kontrol düzlemi artık bir çevre hattı ve tam da öyle taranıyor.

Bu, CISA'nın Kasım 2021'den bu yana KEV kataloğuna eklediği altıncı GitLab açığı; bunlardan biri fidye yazılımı operasyonlarında kullanıldı. Yalnızca 2026'da bir iki faktörlü kimlik doğrulama atlatması (CVE-2026-0723, Ocak), depo commit API'sinde 10.0'lık bir yol geçişi (CVE-2026-85706, Eylül, o da istismar edildi) ve şimdi iki regex derleyici RCE'si var. Desen ödülü işaret ediyor: bir GitLab sunucusu, kaynak kodun, pipeline sırlarının, bulut anahtarlarının ve dağıtım yetkilerinin buluştuğu yer. Birini ele geçiren, derleme hattını devralır — aşağı akıştaki her şeyi zehirlemenin klasik yolu.

Henüz adı açıklanmış bir kurban ya da doğrulanmış bir tedarik zinciri ihlali yok. Bu boşluk önemli: istismar doğrulandı, kapsam değil. Shadowserver'ın sayısı ihlallerin değil, maruziyetin sayımı.

Ne yapmalı:

- Sürümü kontrol edin. 19.4.2, 19.3.5 veya 19.2.8'in altındaki — ya da daha yeni bir sürüm hattındaki eşdeğer yama seviyesinin altındaki — her kurulum ilk açık kapsamında; ikincisi daha önce düzeltildi ve 11.300 rakamının nedeni bu. - İnternete açık ve yamasız kaldıysa CI değişkenlerini, runner token'larını, dağıtım anahtarlarını ve kayıt defteri kimlik bilgilerini potansiyel olarak ifşa olmuş sayın ve değiştirin. Yama kapıyı kapatır; yaşanmış bir ziyareti geri almaz. - Tanımadığınız hesaplardan ya da çatallardan tetiklenen, yapılandırmasında olağandışı yoğunlukta düzenli ifade bulunan pipeline çalışmalarına ve GitLab sunucusundan çıkan, oraya ait olmayan bağlantılara bakın. - Bu hafta yamalayamıyorsanız örneği genel internetten çıkarın. Bu sınıftaki her istismar, yalnızca erişilebilir bir sunucunun gördüğü bir istekle başlar.

Dürüst özet: yama üç haftadır var, dışarıdan bir tarayıcı yamasızları bulabiliyor ve istismar kodu dolaşımda. Bu, tamamen önlenebilir olan ve hâlâ önlenmeyen o nadir kritik vaka.