GitLab Kritik Yama Sürümü: CVE-2026-110264 İçin 19.5.1 ve Diğer Sürümler

GitLab, 21 Ekim 2026'da yayımladığı "Critical Patch Release" ile 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ve 18.11.13 sürümlerini çıkardı; CVE-2026-110264 numaralı açık GitLab'ın CVSS 3.1 değerlendirmesinde 10,0 puan aldı.

Bu sayfa, GitLab'ın kendi yama sürümü duyurusuna (docs.gitlab.com/releases) dayanır. Güvenlik sitelerinin yorumlarından bilgi aktarılmamış, metin Türkçe olarak sıfırdan yazılmıştır.

Künye

Açık Ne Yapıyor?

GitLab'ın duyurusuna göre CVE-2026-110264, düzenli ifade derleyicisindeki bir tamsayı taşmasıdır. Özel olarak hazırlanmış bir düzenli ifade derlenirken kimlik doğrulaması yapmamış bir kullanıcı sunucuda kod çalıştırabilir. Puanlama vektöründe saldırının ağ üzerinden, düşük karmaşıklıkla, ayrıcalık ve kullanıcı etkileşimi gerektirmeden yapılabildiği görülüyor.

GitLab bu açık için kendi yayımladığı CVSS 3.1 değeri olarak 10,0 veriyor. Bu, GitLab'ın değerlendirmesidir; NVD'nin ayrı bir puanı bu sayfa için doğrulanamamıştır.

Hangi Sürümler Etkileniyor?

Duyuruya göre etkilenen aralıklar şöyle: 7.0'dan 18.11.13'ten önceki sürümlere kadar olan tüm sürümler, ayrıca 19.0 için 19.0.10'dan, 19.1 için 19.1.9'dan, 19.2 için 19.2.9'dan, 19.3 için 19.3.6'dan, 19.4 için 19.4.3'ten ve 19.5 için 19.5.1'den önceki sürümler. Düzeltilmiş sürümler: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ve 18.11.13.

GitLab.com yamalı sürümü çalıştırıyor. GitLab Dedicated için 19.3.5-internal0 ve 19.4.2-internal0 ile sonrası düzeltmeyi içeriyor. Kendi sunucusunda GitLab çalıştıran (self-managed) kuruluşların yama sürümüne kendilerinin geçmesi gerekiyor.

İstismar Tespiti

GitLab, self-managed kurulumlar için iki tespit yöntemi yayımladı: "Onigmo native worker crash" ve "Org mode render error burst" adlı tespitler. Duyuru sayfasında açığın vahşi ortamda istismar edildiğine dair bir ifade bulunmuyor.

Aynı Haftadaki Başka GitLab Açığıyla Karıştırılmamalı

GitLab 12 Ekim 2026'da 19.4.2, 19.3.5 ve 19.2.8 sürümleriyle ayrı bir kritik yama sürümü yayımlamıştı. O sürümde CVE-2026-97229 numaralı başka bir açık ele alınmıştı. İki açık arasındaki ilişki doğrulanamadığı için bu sayfada birbirine bağlanmamıştır.

İlgili Sayfalar

Yazılım güvenliğiyle ilgili başka bir güncel kayıt için Rank Math PRO 3.0.123 güvenlik olayı sayfamıza bakabilirsiniz.

Bu Sayfada Ne Yok?

• Açığın vahşi ortamda istismar edildiği bilgisi: duyuruda yer almadığı için yazılmamıştır.
• "Plan dışı yama" nitelemesi: GitLab'ın metninde bu ifade geçmediği için kullanılmamıştır; sayfa yalnızca "kritik yama sürümü" terimini kullanır.
• Onigmo kütüphanesinin açığın doğrudan kaynağı olduğu: yalnızca tespit adlarında geçtiği için kesin bilgi olarak yazılmamıştır.
• NVD kaydı ve NVD'nin puanı: kayıt okunamadığı için doğrulanamamıştır.
• Yayın saati: duyuru sayfasında saat bilgisi okunamadığı için yalnızca tarih yazılmıştır.
• Etkilenen kurulum sayısı ya da saldırı girişimi sayısı: kaynakta yoktur.
• Adım adım istismar yöntemi: yazılmamıştır.

Sık Sorulan Sorular

CVE-2026-110264 nedir?

GitLab'ın düzenli ifade derleyicisinde bulunan bir tamsayı taşmasıdır. Özel hazırlanmış bir düzenli ifade, kimlik doğrulamasız bir kullanıcının sunucuda kod çalıştırmasına yol açabilir.

Hangi sürüme geçmem gerekiyor?

Kullandığınız dala göre 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 veya 18.11.13. Daha eski dallarda bu yama sürümlerinden birinin bulunduğu bir dala geçiş gerekir.

GitLab.com kullanıcıları ne yapmalı?

GitLab, GitLab.com'un yamalı sürümü çalıştırdığını bildiriyor; ayrıca bir işlem belirtilmiyor.

Açık istismar edildi mi?

Duyuruda vahşi ortamda istismar bilgisi yok. GitLab yalnızca self-managed kurulumlar için iki tespit yöntemi yayımladı.

10,0 puanı kimin?

GitLab'ın CVSS 3.1 değerlendirmesinin sonucudur. Bağımsız bir NVD puanı bu sayfa için doğrulanmamıştır.

12 Ekim'deki yama ile aynı mı?

Hayır. 12 Ekim 2026 yama sürümü CVE-2026-97229 içindi. İki açık arasındaki ilişki doğrulanamadı.

Kaynak ve kapsam: GitLab'ın 21 Ekim 2026 tarihli "GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13" duyurusu (docs.gitlab.com/releases). İstismar durumu, NVD puanı, yayın saati ve Onigmo'nun doğrudan rolü kaynakta bulunmadığı ya da okunamadığı için yazılmamıştır.