Kritik GitLab dosya okuma açığı CVE-2026-85706, CISA KEV listesine girdi; 1,2 milyon instance çevrimiçi görünüyor

Maksimum önem derecesinde dosya okuma, zaten sömürüldüğü işaretlenmiş

Self-managed GitLab çalıştıran ekipler, ürünün repository commits API'sindeki, CVSS 3.1 ile tam 10.0 puanlanan kimlik doğrulaması gerektirmeyen keyfi dosya okuma açığı CVE-2026-85706 nedeniyle acil bir yama göreviyle karşı karşıya. dev.to'da yayımlanan bir analiz uyarınca, düzeltilmiş 19.3.2, 19.2.6 ve 19.1.8 sürümleri 10 Eylül 2026'da yayınlandı ve CISA açığı ertesi gün Known Exploited Vulnerabilities kataloğuna ekledi. Hata, belirli sürüm aralıklarındaki self-managed Community Edition ve Enterprise Edition dağıtımlarını etkiliyor; GitLab.com ve GitLab Dedicated ise satıcı tarafından yönetiliyor.

Bir ölçüm, iki çok farklı sayı

dev.to yazısı, duyuruyu düzeltme yayınlandıktan sonra toplanan internet tarama verisiyle birleştiriyor. GitLab uygulama fingerprint'i için yapılan, 19 Eylül 2026'da güncel indekse karşı çalıştırılan bir ZoomEye sorgusu, IPv4 cihaz veri setinde 1.262.273, web veri setinde ise 52.074 eşleşme döndürdü. Bu rakamlar farklı şeyleri tanımlıyor: cihaz sayısı GitLab fingerprint'i taşıdığı gözlemlenen host ve servisleri sayarken, web sayısı web sitesi ve domain kayıtlarını sayıyor. Bunlar toplanamaz ve yazarın da vurguladığı gibi, ikisi de savunmasız kurulumların bir sayımı değil. Bir eşleşme yalnızca belirli bir adreste GitLab görüldüğünü kanıtlar — hangi sürümü çalıştırdığını, yamalanmış olup olmadığını veya commits API'sinin bir aracı üzerinden açık olup olmadığını değil.

Açıkta kalan GitLab sunucuları neden yüksek değerli hedefler

Ölçüm, GitLab'ın tipik olarak nerede konumlandığı nedeniyle önemli. Instancelar mühendislik organizasyonlarının içinde kümelenir, downstream sistemler için credential barındırır ve build pipeline'larına, artifact repository'lerine ve cloud ortamlarına bağlanır. Açık kimlik doğrulaması gerektirmeyen dosya okumalarına izin verdiği için, bir saldırganın çekebileceklerinin pratik üst sınırı, belirli bir dağıtımda GitLab servis sürecinin erişebildiği her şeydir — yaygın olarak yapılandırma dosyaları, session ve imzalama materyali, veritabanı ve object storage credential'ları, runner kayıt materyali ve deployment token'ları. Bu nedenle ulaşılabilir az sayıda sunucu bile orantısız miktarda downstream erişimin kilidini açabilir.

Fingerprint eşleşmelerini yama kuyruğuna dönüştürmek

Analiz, 1,26 milyonluk rakamı bir bulgu olarak değil, önceliklendirme için bir payda olarak çerçeveliyor. Önerilen iş akışı: dışarıdan görünen GitLab servislerinin envanterini çıkarmak için fingerprint'i kullanın, bu listeyi iç varlık kayıtlarıyla karşılaştırarak kimsenin açıkta olduğunu bilmediği instanceları ortaya çıkarın, ardından her birinde sürümü doğrulayın ve commits API'sine doğrudan mı yoksa yalnızca bir proxy ya da erişim kontrol katmanı üzerinden mi ulaşılabildiğini kontrol edin. Yazıda belirtildiği gibi, dış görünümde ama iç kayıtlarda görünmeyen instancelar, rutin yamalamanın dışında kalmış olma ihtimali en yüksek olanlardır. Yazar, ZoomEye'nin varlık keşif özelliklerinin, bir organizasyonun ilişkili varlıklarını kendi ipuçlarından sürekli haritalandırarak bu karşılaştırmayı destekleyebileceğini ekliyor.

Taramanın size söyleyemediği şeyler

Sınırları açıkça belirtmekte fayda var. Sayım, fingerprint sürüm bilgisini güvenilir şekilde taşımadığı için kaç instancenin gerçekten savunmasız olduğunu söylemiyor. Herhangi bir instancenin ele geçirilip geçirilmediğini göstermez ve bilerek yayınlanmış bir instance ile kazara açığa çıkmış birini ayırt edemez. Rakamı bir savunmasızlık sayımı olarak görmek yanlış karara davetiye çıkarır; erişilebilirlik hakkındaki bir gözlem olarak, bir müdahalenin kapsamını belirlemeye destek olur.

Önerilen eylemler

dev.to analizi somut bir sıra ortaya koyuyor: disaster recovery düğümleri dahil tüm self-managed GitLab instancelarının envanterini çıkarın; her birinde sürümü doğrulayın; etkilenen aralıklardaki her şeyi 19.1.8, 19.2.6, 19.3.2 veya sonrasına yükseltin; ve hemen yükseltmenin mümkün olmadığı yerlerde herkese açık erişilebilirliği kısıtlayın. Credential sorusu ayrı ele alınmayı hak ediyor — GitLab servis hesabının okuyabildiği her şeyi sayın ve erişilebilir olan ve açıkta olmadığı hariç tutulamayan her şeyi rotate edin. Tarama yalnızca envanteri başlatır; asıl iş yamalama ve credential incelemesidir.

Neden önemli

Kusursuz bir CVSS puanı, kimlik doğrulaması gerektirmeyen sömürü ve CISA KEV listesi birlikte bunu, yazılım açıklarının olabileceği kadar acil hale getiriyor. Çevrimiçi yedi haneli sayılarda GitLab footprint'i görünürken, birçok geliştirme ekibi bunun farkında olmadan açıkta ve etki alanı repository içeriklerinin çok ötesine, pipeline credential'larına ve cloud erişimine uzanıyor. Instancelarınızı bulup yamalamak bariz ilk adım, ancak servisin sızdırmış olabileceği her şeyi rotate etmek kapıyı gerçekten kapatan şeydir.