CVSS 10.0: Mümkün Olan En Yüksek Puan
GitLab, 21 Ekim 2026'da self-managed kurulumları etkileyen kritik bir güvenlik açığını kapatan yamayı yayımladı. CVE-2026-110264, CVSS v3.1 üzerinden tam 10.0 puan aldı — bir açığın alabileceği en yüksek skor. Kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya (RCE) olanak tanıyor ve 12 yıllık GitLab sürümleri bu açıktan etkileniyor.
İyi haber: GitLab, yayım tarihi itibarıyla aktif istismar kanıtı olmadığını ve açığın CISA KEV kataloğunda yer almadığını açıkladı. Ancak CVSS 10.0 açıklar saldırganların öncelikli hedefi haline hızla geliyor.
Neden Önemli?
GitLab self-managed, kurumların kendi altyapısında barındırdığı kaynak kodu deposu. Başarılı bir istismar:
- Tüm kaynak koduna yetkisiz erişim
- CI/CD pipeline'larına kötü amaçlı kod enjeksiyonu
- Deployment anahtarları ve secret'ların çalınması
- Tedarik zinciri saldırısı için sıçrama taşı
Kaynak kodu deposunu ele geçirmek, tek bir sunucuyu ele geçirmekten çok daha büyük hasar potansiyeli taşıyor.
Etkilenen Sürümler
GitLab CE ve EE'nin 12 yılı kapsayan geniş bir sürüm aralığı etkileniyor. GitLab resmi tavsiyesinde etkilenen tüm dallar için sabit sürümleri listeledi; en kısa yoldan son kararlı sürüme yükseltme önerisi yapılıyor.
GitLab.com (bulut sürümü) kullanıcıları: platform tarafından otomatik yamalandı, işlem gerektirmiyor.
Yükseltme Adımları (Linux paket kurulumu)
# Paket listesini güncelle
sudo apt-get update
# GitLab'ı son sürüme yükselt
sudo apt-get install --only-upgrade gitlab-ee # EE için
# veya
sudo apt-get install --only-upgrade gitlab-ce # CE için
# Yükseltme sonrası sürümü doğrula
sudo gitlab-rake gitlab:env:info | grep "GitLab"Hemen Yapılması Gerekenler
- Self-managed GitLab sürümünüzü kontrol edin: Admin Area → Help.
- Etkilenen aralıktaysa bu hafta içinde yamayı uygulayın.
- Yükseltme mümkün değilse GitLab'ın yönetim arayüzünü (port 80/443) internetten izole edin; VPN arkasına alın.
- CI/CD pipeline log'larını anormal deployment veya script eklemelerine karşı inceleyin.
- GitLab.com kullanıyorsanız: yapmanız gereken bir şey yok.