Git güvenlik yamaları: geliştirme ve CI ortamlarında neyi kontrol etmeli?

Git projesi, 10 Kasım 2026'da altı güvenlik açığı için yama sürümleri yayımladı. Duyuruda özyinelemeli klonlama, referans işleme, birleştirme, ikili yama ve içe aktarma akışları yer alıyor. En dikkat çekici senaryolardan biri, kötü amaçlı hazırlanmış bir depoyu özyinelemeli klonlarken kod çalıştırılabilmesi. Bu, her Git kullanımının aynı riskte olduğu anlamına gelmiyor; hangi makinenin hangi dış içeriği işlediği belirleyici. Git güvenlik duyurusu

Hangi sürümler düzeltildi?

Düzeltmeler Git 2.56.1 sürümünde ve bakım serileri için 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 ve 2.50.2 sürümlerinde bulunuyor. Çalıştığınız seriye uygun yamayı işletim sistemi dağıtıcınızdan veya Git'in resmî dağıtım kanalından kontrol edin. Sürüm numarasını tek başına değil, paketin kaynağını ve dağıtıcının geri taşınmış düzeltme politikasını da dikkate alın. Yama sürümleri ve kapsam

Kontrol yalnız geliştirici bilgisayarında bitmiyor

Git, geliştiricinin dizüstü bilgisayarında görünen komuttan daha geniş bir alanda çalışabilir: CI çalışanı kaynak kodu çeker, otomasyon bir depoyu birleştirir, iç servisler veya başka uygulamalar kendi Git kopyalarını taşıyabilir. Bu yüzden önce Git'in nerede çalıştığını listelemek gerekir. GitHub, kendi barındırdığı hizmetlerde düzeltmeleri uyguladığını belirtiyor; bu bilgi şirketinizdeki CI çalışanının, Bitbucket kurulumunun veya Git'i içinde taşıyan bir aracın güncellendiğini kanıtlamaz. Kaynak: GitHub duyurusu

Uygulanabilir güncelleme sırası

1. Envanter çıkarın: geliştirici cihazı, build runner, sunucu ve gömülü Git kullanan araçların sürümünü ve dağıtım kanalını kaydedin.
2. Maruziyeti ayırın: hangi akışlar güvenilmeyen depoyu özyinelemeli klonluyor, dışarıdan gelen tag veya merge içeriğini işliyor, ikili yama ya da fast-import akışı kabul ediyor?
3. Uygun yamayı uygulayın: bakım serinize ait düzeltmeyi dağıtıcının talimatıyla yükleyin; araç kendi Git kopyasını taşıyorsa o aracı ayrıca güncelleyin.
4. Temel akışları sınayın: klonlama, derleme, birleştirme ve dağıtım işlerini test ortamında çalıştırın; canlıya geçiş ve geri dönüş sorumlusunu belirleyin.

Hemen yama uygulanamayan bir ortamda, güvenilmeyen kaynaktan özyinelemeli klonlama ve dış içerik işleme akışlarını sınırlamak geçici bir önlem olabilir. Bu önlem güncellemenin yerini tutmaz. Kaynak duyuru, belirli güvenlik açıklarının koşullarını ayrı ayrı açıklıyor; tek bir senaryoyu tüm depolara genellememek gerekir.

Codiatech açısından karar noktası

Özel yazılım geliştirme ve bulut hizmetleri yönetimi projelerinde geliştirme ve dağıtım ortamının bileşenlerini proje koşullarına göre değerlendiriyoruz. Mevcut sisteminizde Git'in nerelerde çalıştığını ve güncellemenin dağıtım akışını nasıl etkileyeceğini birlikte kapsamlandırmak için iletişime geçin.

Kaynaklar

• Git security vulnerabilities announced — GitHub Blog, Elijah Newren, 10 Kasım 2026.
• Git projesi güvenlik kayıtları — ilgili güvenlik duyuruları.