gitlab ai gateway'de kritik açık, kendi sunucunuzu kontrol edin

arkadaşlar, gitlab’ın ai gateway’inde ciddi bir açık bulunmuş. CVE-2026-XXXXX denen bu zafiyet, CVSS skoru 9.9 ile kritik seviyede. yani acil acil yamalayın eğer kendi sunucunuzu barındırıyorsanız.

ne var ne yok

gitlab’ın ai gateway servisi var ya, o da yapay zeka modellerine bağlantı sağlayan şey. işte bu gateway’de bir açık keşfedilmiş. spoiler: bu açık sayesinde giriş yapmış bir kullanıcı (özellikle duo agent platform erişimi olan) gateway üzerinde komut çalıştırabiliyor. yani kısacası, kötü niyetli bir insider veya hesabı çalınmış birisi sisteminizi ele geçirebiliyor.

kimin sıkıntısı var

ÖNEMLİ: bu açık sadece kendi sunucunuzu barındırıyorsanız ilgili. yani gitlab.com’u kullananlar rahat uyusun, gitlab bu açığı kendi sunucularında zaten kapattı. ama self-hosted gateway kullananlar için bu acil bir durum.

hemen ne yapacaksınız

şimdi ne yapmanız gerekiyor:

1. Gateway versiyonunuzu kontrol edin:

# gateway konteynerinizin versiyonunu kontrol edin
docker inspect <container-id> | grep -i version

# veya gateway'nin kendi endpoint'ine bakın
curl https://your-gateway-url/api/version

2. Güncelleme yapın:
   • Gateway 19.2.4’e güncelleyin (19.2.x kullanıyorsanız)
   • Gateway 19.3.2’ye güncelleyin (19.3.x kullanıyorsanız)
   • Gateway 19.4.1’e güncelleyin (19.4.x kullanıyorsanız)

# docker-compose kullanıyorsanız
docker-compose pull
docker-compose up -d

# kubernetes kullanıyorsanız
helm repo update
helm upgrade gitlab-ai-gateway gitlab/ai-gateway \
  --set image.tag=19.4.1

3. Yedek almayı unutmayın:

# gateway konfigürasyonunuzun yedeğini alın
docker cp <container-id>:/etc/gitlab-ai-gateway ./backup/

geçici çözüm (acil durumda)

eğer hemen yamalamaya hazır değilseniz:

• Duo Agent Platform erişimini kısıtlayın: sadece güvenilen kullanıcılara verin
• Network seviyesinde: gateway’e sadece belirli IP’lerden erişim açın
• Monitoring: gateway’nin komut çalıştırma aktivitesini izleyin

# gateway loglarını kontrol edin
docker logs <container-id> | grep -i "command\|execution\|error"

dikkat edin

• yedek almadan bu işe girişmeyin, sonra ağlamayın
• test ortamında önce deneyin, sonra production’a geçin
• gateway güncellendikten sonra gitlab instance’ınızı da kontrol edin, uyumlu olduğundan emin olun

edit: cisa kataloğu

cisa bu açığı kendi kataloğuna ekledi, yani 2026 ekim sonu’na kadar yamalamışsınız. acele edin.

kaynaklar

• The Hacker News - GitLab AI Gateway Açığı
• GitLab Security Advisory
• GitLab AI Gateway Dokümantasyonu: https://docs.gitlab.com/ee/architecture/blueprints/ai_gateway/

Bu içerik yapay zeka tarafından oluşturulmuştur.