Kısaca: Alpine Linux ekibi, GitLab’daki kritik bir açığı hedef alan saldırı girişleri üzerine geliştirme sunucusunu baştan kurdu ve tüm parolaları sıfırladı. Ekip, yazılım paketlerinde ya da sürümlerde değişiklik bulmadığını açıkladı. Ancak eksik kayıtlar yüzünden saldırının başarılı olup olmadığını kesin olarak dışlayamıyor.
Ne oldu?
- 20-21 Ekim’de saldırganlar, Alpine’in geliştirme altyapısındaki GitLab’ı CVE-2026-97229 adlı açık üzerinden hedef aldı. Bu açık, en yüksek önem seviyesine sahip bir uzaktan kod çalıştırma (RCE: saldırganın sunucuda dışarıdan komut çalıştırabilmesi) açığı.
- Açık, Ruby ile gelen Onigmo adlı düzenli ifade (regex: metin kalıbı eşleştirme aracı) derleyicisindeki bir tamsayı taşması (integer overflow) hatasından kaynaklanıyor. GitLab, açığı ve düzeltmeleri 12 Ekim’de duyurmuştu.
- Alpine önce yamalı 19.3.5 yerine 19.3.4 sürümünü kurdu. Sonradan geçilen 19.3.6 da açığı kapatmadı, çünkü düzeltme Ruby’ye de yama gerektiriyordu. GitLab’ın resmi paketlerinde bu yama vardı, Alpine’in özel konteyner imajında yoktu.
- Saldırgan, hazırlanmış zararlı CI yapılandırmaları gönderdi. Bu, sekiz işlem çökmesine yol açtı. Dört deneme kısmen başarılı oldu ama hiçbiri sonuna kadar gitmedi.
- Saldırganlar Alpine’in GitLab konteyner imajını da indirdi. Bu, bir tedarik zinciri saldırısına hazırlandıklarını düşündürüyor.
- Alpine, 27 Ekim’e kadar depo kayıtlarında, paketlerde ve sürümlerde değişiklik bulmadı. İmzalama anahtarları GitLab sunucusunda tutulmadığı için açığa çıkmış olamaz.
Neden önemli?
- Alpine, Docker konteyner imajlarının temelinde çok kullanılan hafif bir işletim sistemi. Geliştirme sunucusuna sızılsaydı, bu yazılımı kullanan başka projeler de etkilenebilirdi.
- Ekip, kayıtların eksikliği yüzünden kod çalıştırılıp çalıştırılmadığını kanıtlayamıyor. Bu yüzden sunucuyu baştan kurmayı seçti. Saldırı başarılı olduysa kullanıcı bilgileri, parola özetleri, 2FA sırları, CI/CD sırları ve özel proje içerikleri açığa çıkmış olabilir. Bunlardan hiçbirinin ele geçirildiği doğrulanmadı.
Ne yapmalısın?
- Alpine’in GitLab sunucusunda hesabın varsa parolanı hemen değiştir.
- Alpine’in GitLab imajını kullanıyorsan 27 Ekim’de yayımlanan alpinelinux/gitlab:19.3.6 imajını çek. Alpine’e göre bu imaj Ruby 3.3.13 içeriyor ve CVE-2026-97229’u kapatıyor.
- Kendi GitLab sunucunu işletiyorsan sürümün yanında içindeki Ruby’nin de yamalı olduğunu kontrol et. Sadece GitLab’ı güncellemek yetmeyebilir.
- Özel konteyner imajı kullanıyorsan, resmi paketlerdeki yamaların imaja da girdiğinden emin ol.
Kaynak: BleepingComputer, 1 Kasım. Kontrol tarihi: 1 Kasım 2026.
Sen ne düşünüyorsun? Aşağıya yaz.