GitLab'de 10 puanlık açık ve Cisco güvenlik duvarı hatası saldırıda

Yazılım ekiplerinin kodunu tuttuğu GitLab'de en yüksek önem derecesindeki bir açık ve Cisco güvenlik duvarlarındaki bir çökme hatası artık gerçek saldırılarda kullanılıyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 29 Ekim 2026'da GitLab'deki CVE-2026-97229 (CVSS 10,0) ve Cisco Secure Firewall ASA/FTD'deki CVE-2026-76418 (CVSS 8,6) açıklarını aktif istismar edilen açıklar kataloğu KEV'e ekledi. İki ürün için de yama hazır; güncellemeyen kurumlar risk altında.

KEV listesi yalnızca ABD federal kurumlarını bağlıyor. Bu kurumların iki açığı da 1 Kasım 2026'ya kadar kapatması gerekiyor. Ancak liste, dünyanın her yerindeki sistem yöneticileri için "bu açık artık teoride kalmadı" anlamına gelen güçlü bir uyarı işlevi görüyor.

GitLab açığı ne yapıyor?

GitLab'in açıklamasına göre sorun, düzenli ifadeleri (regex) derleyen bileşendeki bir tamsayı taşması. Oturum açmamış bir kullanıcı, CI/CD yapılandırmasına koyduğu özel hazırlanmış bir düzenli ifadeyle GitLab sunucusunda istediği kodu çalıştırabiliyor. Community ve Enterprise sürümlerinin 19.2, 19.3 ve 19.4 dalları etkileniyor. GitLab düzeltmeyi 12 Ekim'de 19.2.8, 19.3.5 ve 19.4.2 sürümleriyle, toplam 24 açığı kapatan bir paketin parçası olarak yayımlamıştı. Yayın ilkelerimiz gereği istismarın ayrıntılarına girmiyoruz.

Güncelleme neden tek başına yetmeyebilir?

Hatanın kökü, Ruby dilinin düzenli ifade motoru Onigmo'da. GitLab'in resmi paketleri düzeltilmiş Ruby ile geliyor. Ama GitLab'i kendi hazırladığı imajla ya da dağıtımın Ruby paketiyle çalıştıranların ayrıca Ruby 3.3.13, 3.4.12 veya 4.0.9'a geçmesi gerekiyor. Bu Ruby sürümleri 23 Ekim'de çıktı.

Bunun bedelini Alpine Linux projesi ödedi. Projenin 28 Ekim tarihli açıklamasına göre 20 Ekim'de yeni açılmış bir hesap, Alpine'in herkese açık GitLab sunucusunda açığı kullanmayı denedi ve iş parçacıkları (worker) sekiz kez çöktü. Alpine saldırının başarılı olduğuna dair kanıt bulmadı ama bunu dışlayamadığını da söyledi. Bu yüzden sunucuyu ele geçirilmiş saydı, sıfırdan kurdu, tüm parolaları ve gizli anahtarları yeniledi. Paket imzalama anahtarlarının etkilenmediği belirtildi.

Cisco tarafında ne var?

CVE-2026-76418, Cisco Secure Firewall ASA ve Secure Firewall Threat Defense (FTD) yazılımlarının uzaktan erişim SSL VPN hizmetinde bulunuyor. Bir tünel grubunda ikincil kimlik doğrulama tanımlıysa, kimlik bilgisi olmayan bir saldırgan cihazı beklenmedik şekilde yeniden başlatabiliyor. Veri sızmıyor ama VPN kesiliyor; uzaktan çalışan personel şirket ağından kopuyor.

Cisco bülteni 28 Ekim'de TSİ 22:15'te yayımladı ve açığın ekim ayında saldırılarda kullanıldığını doğruladı. Tam bir geçici çözüm yok. Cisco'nun önerdiği ara önlem, ilgili tünel gruplarında ikincil kimlik doğrulamayı kapatmak; bu da güvenlikten ya da kullanım kolaylığından ödün vermek demek.

Türkiye'deki kurumlar için ne anlama geliyor?

GitLab, Türkiye'de yazılım şirketlerinden bankalara, üniversitelerden kamu kurumlarına kadar pek çok yerde şirket içinde (self-hosted) kurulu olarak kullanılıyor. Cisco ASA ve FTD de kurumsal ağlarda en yaygın güvenlik duvarı ve VPN çözümlerinden. Bu nedenle CISA'nın uyarısı yalnızca ABD'yi değil, buradaki sistem yöneticilerini de doğrudan ilgilendiriyor. Yapılması gerekenler:

1. GitLab sürümünü kontrol edin: Yönetici panelinden sürüme bakın; en az 19.2.8, 19.3.5 veya 19.4.2 olmalı. Kendi imajını kullananlar ruby -v ile Ruby sürümünü de doğrulasın.
2. Açık kaydı kapatın: Herkesin hesap açabildiği sunucularda, ihtiyaç yoksa kaydı kapatın. Alpine'deki deneme yeni açılmış bir hesaptan geldi.
3. İz arayın: 12 Ekim'den bu yana açıklanamayan worker çökmeleri varsa parola, erişim anahtarı ve token'ları yenileyin.
4. Cisco cihazlarını güncelleyin: Kullandığınız dalın güvenli sürümüne geçin; örneğin ASA 9.22 için 9.22.3.200, FTD 7.6 için 7.6.7.

GitLab.com ve GitLab Dedicated müşterilerinin bir şey yapmasına gerek yok; bu sunucuları GitLab kendisi yönetiyor.

Arka plan: Regex açıkları üst üste geliyor

GitLab'in düzenli ifade işleyicisinde bu ilk sorun değil. Eylül sonunda da benzer iki açık CVSS 9,9 puanla kapatılmıştı; o açıkları kullanmak için oturum açmak gerekiyordu. Yeni açıkta bu şart da ortadan kalktı. Cisco ise eylülde ISE ve e-posta ağ geçidindeki iki sıfırıncı gün açığıyla gündemdeydi. Son haftalarda SharePoint ve MikroTik ile Citrix NetScaler açıklarında da benzer bir tablo görüldü: yama hazır olsa da güncellenmeyen sistemler hedef oldu.

Sık sorulan sorular

GitLab.com kullanıyorum, etkilenir miyim?

Hayır. Yalnızca kendi sunucusunda GitLab çalıştıranların güncelleme yapması gerekiyor.

1 Kasım tarihi Türkiye'deki kurumlar için de geçerli mi?

Hayır, bu süre yalnızca ABD federal kurumları için. Ancak açıklar aktif olarak kullanıldığı için beklemeden güncellemek gerekiyor.

Cisco açığı veri hırsızlığına yol açıyor mu?

Cisco'nun açıklamasına göre açık cihazın yeniden başlamasına, yani hizmet kesintisine yol açıyor. Veri sızıntısından söz edilmiyor.