GitLab CVE-2026-85706 aktif olarak istismar ediliyor: Acil güncelleme çağrısı

CVE-2026-85706, kendi yönetilen GitLab Community Edition (CE) ve Enterprise Edition (EE) kurulumlarını etkileyen, en yüksek şiddet düzeyindeki bir dizin geçişi (path traversal) açığıdır. CVSS 3.1 puanı 10,0 olan açık, belirli koşullarda kimliği doğrulanmamış bir kullanıcının GitLab sunucusundaki keyfi dosyaları okumasına imkân verebilir. Bu yalnızca teorik bir risk değil: CISA açığı aktif olarak istismar edilenler arasında listelerken, güvenlik araştırmacıları yamaların yayımlanmasından kısa süre sonra internete açık örneklere yönelik tarama ve deneme girişimleri gözlemledi. 32122

Öncelik: Etkilenen sürümleri hemen yükseltin

Etkilenen bir sürümde kendi yönettiğiniz GitLab kullanıyorsanız, aşağıdaki düzeltilmiş sürümlerden uygun olana veya daha yenisine vakit kaybetmeden yükseltin:

• 19.1.8 veya sonrası
• 19.2.6 veya sonrası
• 19.3.2 veya sonrası

Etkilenen aralıklar GitLab CE/EE için şunlardır: 18.7’den 19.1.8 öncesine kadar, 19.2’den 19.2.6 öncesine kadar ve 19.3’ten 19.3.2 öncesine kadar. GitLab düzeltmeleri 10 Eylül 2026’da yayımladı. 37

CISA, CVE-2026-85706’yı 11 Eylül’de Bilinen Aktif Olarak İstismar Edilen Güvenlik Açıkları (Known Exploited Vulnerabilities, KEV) kataloğuna ekledi. Kapsam dahilindeki ABD federal sivil kurumları için işlem son tarihi 14 Eylül olarak belirlendi. Bu tarih özel sektör kuruluşları için doğrudan zorunlu değildir; ancak internete erişilebilen her kendi yönetilen kurulum için tehdidin aciliyetini gösterir. 3

Açık neye izin veriyor?

Sorun GitLab’ın Repository Commits API’sinde bulunuyor. Belgelenen temel neden, kullanıcının denetimindeki dosya yollarının yeterince sınırlandırılmaması ve kimlik doğrulama denetiminin eksik kalmasıdır. Bu koşul istismar edildiğinde, saldırgan GitLab hizmetinin erişebildiği keyfi dosyaları kimlik doğrulaması olmadan okuyabilir. 3

Bu, esas olarak bir dosya ifşası açığıdır. Mevcut raporlar, CVE-2026-85706’nın tek başına uzaktan kod çalıştırma sağladığını doğrulamıyor. Ancak keyfi dosya okuma, sunucunun yapılandırmasına bağlı olarak sonraki bir ihlal için gerekli malzemeyi açığa çıkarabilir: uygulama ayarları, erişim belirteçleri, SSH anahtarları, veritabanı kimlik bilgileri ve GitLab sürecinin okuyabildiği diğer sırlar bunlara örnektir. 925

Aktif istismar bilgisi neden yanıtı değiştiriyor?

WatchTowr, 11 Eylül’de bal küpü ağı üzerinden güvenlik açığına yönelik gerçek dünyadaki deneme isteklerini gözlemlediğini bildirdi. CISA’nın KEV listesine eklemesi de güçlü bir uyarıdır: katalog, sahada istismar edildiğine dair kanıt bulunan açıkları işaretlemek için tutulur. 222

Kamuya açık raporlar tarama ve istismar hareketliliğini doğruluyor; ancak tek bir sorumlu aktörü, güvenilir bir mağdur sayısını veya her vakada geçerli bir istismar sonrası zinciri ortaya koymuyor. Bu nedenle, bir ihlal raporu görülmemesini internete açık bir sunucunun etkilenmediğine dair kanıt saymamak gerekir.

İnternete açık örnekleri olası sır sızıntısı vakası olarak ele alın

Yama, savunmasız davranışı durdurur; fakat saldırganın daha önce okumuş olabileceği verileri geri almaz. Etkilenen ve internete açık bir sunucuda, kapsamlı temizlik başlamadan önce kanıtları koruyun ve GitLab hizmet hesabının hangi kaynaklara erişebildiğini değerlendirin.

Özellikle aşağıdaki kimlik bilgileri ve sırları gözden geçirip kontrollü biçimde döndürmeye öncelik verin:

• GitLab uygulama ve yapılandırma sırları
• Yapılandırmada saklanan veritabanı, Redis, nesne depolama, container registry, SMTP, dizin hizmeti ve kimlik sağlayıcısı bilgileri
• CI/CD değişkenleri, dağıtım belirteçleri, erişim belirteçleri, runner belirteçleri, dağıtım anahtarları ile işler veya entegrasyonlar için bağlanan kimlik bilgileri
• Bulut anahtarları, paket kayıt defteri kimlik bilgileri, imzalama anahtarları ve ana makinenin ya da GitLab sürecinin erişebildiği SSH/TLS özel anahtarları

Döndürme işlemini dikkatle planlayın. Uygulama sırlarının veya şifreleme ile ilişkili ayarların değiştirilmesi oturumları geçersiz kılabilir; şifrelenmiş ayarları ya da entegrasyonları bozabilir. Önce ilgili günlükleri ve yapılandırma kanıtlarını saklayın, geri dönüş adımlarını belirleyin ve en yüksek riskli kimlik bilgilerini denetimli sırayla yenileyin.

Tespit için bakılacak kayıtlar

İlk araştırmada yararlı bir gösterge, Repository Commits API yoluna gelen HTTP POST isteğidir:

/api/v4/projects/<id>/repository/commits/

Raporlar özellikle file.path parametresini içeren isteklerin aranmasını öneriyor. Ters vekil, yük dengeleyici, WAF ve GitLab Rails erişim günlüklerinde olağandışı kimlik doğrulamasız istekleri; URL-kodlanmış dizin geçişi benzeri girdileri; beklenmeyen proje kimliklerini; tekrarlayan başarısızlıkları; sıralı deneme örüntülerini ve anormal yanıt boyutlarını inceleyin. 212426

Şüpheli erişim döneminden sonraki bağlantılı etkinlikleri de araştırın: yeni oluşturulan veya kullanılan belirteçler, runner kayıtları, değiştirilmiş CI/CD değişkenleri ya da pipeline tanımları, olağandışı içe aktarmalar, GraphQL hareketliliği ve beklenmeyen dış bağlantılar bunlar arasındadır. Sürüm etrafındaki rehberlerde commit’lerin, GraphQL aboneliklerinin, proje içe aktarımlarının ve CI/CD pipeline’larının gözden geçirilmesi de öneriliyor. 23

Günlüklerde bulgu olmaması kesin güvenlik kanıtı değildir. Saklama süreleri kısa olabilir, uygulama günlükleri ilgili istek ayrıntılarını kaydetmemiş olabilir veya tek yararlı kayıt ters vekil ya da WAF üzerinde bulunabilir.

Yükseltme gecikirse geçici önlemler

Gerekli çözüm sürüm yükseltmesidir. Acil yükseltme hemen yapılamıyorsa GitLab web ve API hizmetine erişimi VPN ya da onaylı ağlarla sınırlayarak maruziyeti azaltın. Etkilenen Repository Commits API yolunu sıkı biçimde sınırlayan bir ters vekil veya WAF kuralı kısa vadede riski azaltabilir; ancak meşru otomasyonları bozabilir ve yamanın yerine geçmez.

Her etkilenen sunucu için pratik işlem sırası şöyledir:

1. Tespit edin ve önceliklendirin: İnternete açık kendi yönetilen örnekleri önce ele alın.
2. Yükseltin: 19.1.8, 19.2.6, 19.3.2 veya daha yeni bir sürüme geçin.
3. Doğrulayın: Değişiklik sonrası çalışan sürümü kontrol edin.
4. Kayıtları koruyup inceleyin: İstismar göstergelerini araştırın.
5. Olası sırları döndürün: Sunucunun erişim alanına ve iş etkisine göre hareket edin.

Aynı sürümde düzeltilen diğer açıklar

Aynı güvenlik duyuruları, Enterprise Edition için düzeltilen iki açığı daha öne çıkarıyor:

• CVE-2026-87719, CVSS 9,9 puanlı, kimliği doğrulanmış kullanıcı gerektiren güvensiz nesne serileştirme açığı olarak bildirildi. Bazı raporlarda Advanced Search yapılandırması ve kimlik bilgilerinin açığa çıkmasıyla ilişkilendiriliyor. 6
• CVE-2026-88765, hazırlanmış kötü amaçlı bir Git proje dışa aktarımının içe alınmasıyla bağlantılı, kimliği doğrulanmış kullanıcı gerektiren uzaktan kod çalıştırma riski olarak bildirildi; raporlanan CVSS puanı 8,5. 625

Bu açıkların ön koşulları ve etkileri CVE-2026-85706’dan farklıdır. İnternete açık kendi yönetilen GitLab kurulumlarında, kimlik doğrulama gerektirmeyen ve aktif olarak istismar edilen dosya okuma açığı ilk containment ve olay müdahalesi önceliği olmalıdır.