GitLab, Self-Hosted AI Gateway kurulumlarını etkileyen CVE-2026-90970 numaralı güvenlik açığını gidermek için yeni sürümler yayımladı. GitLab tarafından CVSS v3.1’e göre 9.9 puan verilen açık, belirli koşullar altında kimliği doğrulanmış ve Duo Agent Platform erişimine sahip bir kullanıcının özel olarak hazırlanmış bir flow yapılandırması aracılığıyla prompt şablonu sandbox’ından çıkmasına ve AI Gateway üzerinde keyfi komut çalıştırmasına olanak sağlayabiliyor. Şirket, sorunun belirli Self-Hosted AI Gateway sürümlerini etkilediğini ve 19.2.4, 19.3.2 ile 19.4.1 sürümlerinde giderildiğini açıkladı.

GitLab AI Gateway Açığı Nasıl Çalışıyor?

GitLab’ın güvenlik duyurusuna göre sorun, özel flow prompt şablonlarındaki girdilerin işlenmesiyle ilişkili. Belirli koşullarda Duo Agent Platform erişimine sahip kimliği doğrulanmış bir kullanıcı, özel hazırlanmış bir flow yapılandırması kullanarak şablon sandbox’ının sınırlarını aşabiliyor. Bunun sonucunda AI Gateway üzerinde keyfi komut çalıştırılması mümkün hale gelebiliyor.

Açık CVE-2026-90970 koduyla takip ediliyor ve GitLab’ın değerlendirmesinde CVSS v3.1 ölçeğinde 9.9 temel puan taşıyor.

Hangi Sürümler Etkileniyor?

GitLab’ın açıklamasına göre açık, 18.1.6’dan başlayarak belirli 19.x Self-Hosted AI Gateway sürümlerini etkiliyor. Sorun 19.2.4, 19.3.2 ve 19.4.1 sürümlerinde giderildi. GitLab, Self-Hosted AI Gateway kullanan müşterilerinin etkilenen sürümlerden güncel sürümlere geçmesini öneriyor.

GitLab tarafından barındırılan AI Gateway altyapılarında ise düzeltmenin şirket tarafından uygulandığı belirtildi. Bu nedenle GitLab.com, GitLab Dedicated ve GitLab-hosted AI Gateway kullanan Self-Managed müşterilerin ayrıca işlem yapması gerekmiyor.

Aktif İstismar Bilgisi Bulunmuyor

GitLab’ın yayımladığı duyuruda CVE-2026-90970 açığının aktif olarak istismar edildiğine ilişkin doğrulanmış bir bilgi yer almıyor. Bu nedenle açık için güncelleme önerisi yapılırken, saldırının hâlihazırda kullanıldığı yönünde kesin bir ifade kullanmak doğru değil. Kullanıcıların ve kurumların kendi kurulumlarının etkilenen sürümler arasında olup olmadığını kontrol ederek güncel sürümlere geçmesi öneriliyor.