GitLab Darurat: Celah Keamanan 10 Tahun Bikin Server Bisa Dibobol Tanpa Login

Inforiau – 23 Oktober 2026 | GitLab kembali menjadi sorotan dunia keamanan siber setelah mengungkap kerentanan kritis yang telah bersemayam selama lebih dari satu dekade. Celah keamanan dengan skor sempurna 10,0 menurut CVSS 3.1 ini memungkinkan penyerang mengeksekusi kode secara remote tanpa autentikasi, menjadikan gitlab sebagai pintu masuk potensial ke server tanpa perlu kata sandi. Tim pengembang GitLab pun bergerak cepat dengan merilis perbaikan darurat pada 21 Oktober untuk edisi Community Edition dan Enterprise Edition, menutup lubang yang tercatat sebagai CVE-2026-110264.

Vulnerabilitas ini tergolong luar biasa karena hadir sejak GitLab versi 7.0 yang dirilis pada 2014. Artinya, hampir semua instalasi lama yang belum diperbarui berada dalam bayang-bayang ancaman. GitLab mengonfirmasi bahwa dalam kondisi tertentu, penyerang dapat menjalankan kode arbitrer dari jarak jauh tanpa memerlukan akun maupun interaksi pengguna. Akar masalahnya adalah integer overflow saat kompilasi ekspresi reguler yang dirancang khusus. Bug ini bersarang di mesin Onigmo, komponen yang digunakan Ruby untuk pencarian dan pemrosesan teks, dan turut dikemas dalam distribusi gitlab.

Secara teknis, ekspresi reguler membantu program menemukan teks berdasarkan pola tertentu. Dalam kasus ini, jumlah pengulangan yang terlalu besar dapat meluapkan penghitung internal dan merusak penanganan memori. Perbaikan yang dirilis memaksa kompilator menolak pola-pola berbahaya tersebut. Menurut aturan deteksi yang dipublikasikan GitLab, salah satu vektor serangan berkaitan dengan pemrosesan berkas berekstensi .org. Skala dampaknya pun dinilai tidak biasa bahkan untuk kategori bug kritis.

Semua build dari versi 7.0 hingga 18.11.13 dinyatakan rentan, begitu pula cabang 19.0 sampai 19.5 sebelum patch Oktober yang bersangkutan. Bagi instalasi lawas yang tidak memiliki cabang dukungan, langkah migrasi ke versi lebih baru menjadi keharusan karena tidak tersedia patch independen untuk setiap versi lama. Perbaikan telah disiapkan untuk tujuh cabang, yaitu 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, dan 19.5.1. GitLab sangat menyarankan administrator segera memperbarui server. Layanan GitLab.com sudah berjalan dengan patch, sementara pelanggan GitLab Dedicated pada versi internal tertentu tidak memerlukan pembaruan tambahan. Namun bagi sistem yang di-host sendiri, risiko tetap mengintai hingga perbaikan dipasang.

Menariknya, sembilan hari sebelum pengumuman ini, GitLab juga telah memitigasi kerentanan RCE pada pemrosesan ekspresi reguler CI/CD. Masalah itu mendapat identitas CVE-2026-97229 dengan skor 10,0 juga, tetapi hanya berdampak pada versi baru. Ini adalah dua kerentanan berbeda, bukan sekadar perubahan nama satu CVE. Patch 12 Oktober tidak melindungi dari celah baru ini. Tim CiberOK menyatakan telah menguji kemungkinan eksploitasi CVE-2026-110264. Hingga 22 Oktober, belum ditemukan exploit publik yang berfungsi maupun kasus penggunaan nyata dalam serangan. CVE-2026-110264 juga belum terdaftar dalam katalog kerentanan yang diketahui dieksploitasi milik CISA.

Peneliti keamanan dengan pseudonim joaxcar melaporkan temuan ini, dan dalam sebulan telah melaporkan empat kerentanan eksekusi kode pada mesin ekspresi reguler gitlab. Bagi yang hendak memperbarui ke GitLab 19.4.3 dan 19.3.6, perlu dicatat bahwa rilis tersebut menyertakan migrasi basis data yang berpotensi menyebabkan downtime pada instalasi satu server. GitLab merilis dua aturan deteksi: pertama mendeteksi kegagalan pada proses Onigmo, kedua mengidentifikasi rangkaian error saat merender berkas .org. Administrator disarankan segera memasang versi perbaikan yang sesuai. Jika pembaruan segera tidak memungkinkan, akses jaringan ke server dapat dibatasi sementara dan log diperiksa untuk mencari kegagalan Ruby yang tidak biasa serta error pemrosesan .org. Langkah-langkah tersebut tidak menghilangkan kerentanan, dan indikator terisolasi tidak membuktikan kompromi karena kegagalan bisa disebabkan faktor lain.

Dengan skor maksimal dan jangkauan versi yang sangat luas, CVE-2026-110264 menjadi pengingat keras bahwa pembaruan rutin bukan sekadar formalitas. Bagi organisasi yang menjalankan gitlab secara mandiri, menunda patch berarti membiarkan pintu belakang terbuka. Prioritas utama saat ini adalah memverifikasi nomor versi, menjadwalkan pemeliharaan, dan memastikan seluruh instalasi gitlab telah berada pada rilis yang telah diperbaiki. Kecepatan respons akan menentukan apakah celah satu dekade ini menjadi sekadar catatan sejarah atau bencana yang bisa dicegah.