GitLab en yüksek önem dereceli kod çalıştırma açığını yamaladı

GitLab, Regular Expression Compiler bileşenindeki en yüksek önem dereceli bir açık için güvenlik yamaları yayımladı. Açık, uzaktaki saldırganların savunmasız sunucularda istedikleri kodu çalıştırmasına olanak tanıyabilir.

CVE-2026-110264 olarak izlenen açık, özel hazırlanmış bir düzenli ifade derlenirken oluşan tamsayı taşmasından kaynaklanıyor. GitLab, belirli koşullarda kimlik doğrulaması olmayan bir kullanıcının sunucuda kod çalıştırabileceğini söyledi. Açığı, “joaxcar” takma adını kullanan bir araştırmacı GitLab’ın HackerOne hata ödül programı aracılığıyla bildirdi.

GitLab, sorunu Community Edition (CE) ve Enterprise Edition (EE) sürümleri 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ve 18.11.13’te düzeltti ve etkilenen kurulumları yükseltmeye çağırdı. Şirket, GitLab.com’un zaten yamalı bir sürüm kullandığını belirtti. 19.3.5-internal0 ve 19.4.2-internal0 ya da daha yeni sürümleri kullanan GitLab Dedicated müşterilerinde de düzeltmeler bulunuyor.

Shadowserver, internete açık 2.700’den fazla GitLab CE örneğini izliyor. Bunların kaçının tuzak sistem olduğunu veya güvenlik altına alındığını açıklamıyor.

Bu açıklamadan on gün önce GitLab, Regular Expression Compiler’daki başka bir kritik açık olan CVE-2026-97229 hakkında müşterilerini uyarmıştı. GitLab geçen ay, kimlik doğrulaması olmayan saldırganların hassas verileri okumasına olanak tanıyabilecek en yüksek önem dereceli CVE-2026-85706 açığını düzeltti. CISA, bir gün sonra bu açığı aktif olarak istismar edilenler listesine ekledi ve federal kurumlara sistemlerini güvenceye almaları için üç gün verdi.