GitLab Desak Pengguna Segera Menambal Celah Path Traversal Kritikal CVE-2026-85706
GitLab mendesak seluruh pengguna self-managed GitLab untuk segera memasang pembaruan keamanan setelah perusahaan memperbaiki kerentanan path traversal dengan tingkat keparahan maksimum yang dapat memungkinkan penyerang membaca file secara arbitrer dari server yang rentan.
Celah keamanan tersebut dilacak sebagai CVE-2026-85706 dan ditemukan oleh peneliti keamanan dengan nama alias s3ntago melalui program bug bounty GitLab di HackerOne.
Yang membuat kerentanan ini semakin mengkhawatirkan adalah laporan bahwa server GitLab yang terhubung ke internet mulai dipindai oleh penyerang hanya sehari setelah patch dirilis.
CVE-2026-85706 Bisa Membaca File Arbitrer
CVE-2026-85706 berasal dari kombinasi improper path confinement dan tidak diterapkannya autentikasi dengan benar pada repository commits API GitLab.
Dalam kondisi tertentu, penyerang yang tidak terautentikasi dapat mengeksploitasi celah tersebut untuk membaca data arbitrer yang tersimpan di server.
Data yang berpotensi terekspos mencakup:
- Credential
- Secret dan token
- Informasi sensitif lainnya
- File yang tersimpan pada server GitLab
GitLab belum menyatakan bahwa CVE-2026-85706 telah dieksploitasi dalam serangan nyata. Namun, situasi berubah dengan cepat setelah perusahaan keamanan watchTowr melaporkan adanya aktivitas pemindaian terhadap server GitLab yang belum memasang patch.
watchTowr mengatakan mereka telah mengamati probe dari internet secara langsung yang mencoba mencari server yang rentan terhadap CVE-2026-85706.
Menurut perusahaan tersebut, kerentanan dapat memungkinkan penyerang membaca file arbitrer hanya melalui satu HTTP request.
Admin GitLab Disarankan Memeriksa Log
watchTowr juga memberikan indikator yang dapat digunakan administrator untuk mencari kemungkinan percobaan eksploitasi.
Administrator disarankan memeriksa log HTTP, terutama mencari HTTP POST request menuju endpoint:
/api/v4/projects/{id}/repository/commits/
dengan parameter file.path.
Kemunculan request semacam ini tidak otomatis membuktikan bahwa server telah berhasil dieksploitasi, tetapi dapat menjadi indikator adanya aktivitas probing atau percobaan eksploitasi terhadap kerentanan tersebut.
watchTowr memperingatkan bahwa berdasarkan pola eksploitasi terhadap kerentanan GitLab sebelumnya, waktu yang tersedia sebelum eksploitasi massal kemungkinan tidak akan lama.
Karena itu, administrator sebaiknya tidak menunggu hingga tersedia bukti eksploitasi aktif sebelum melakukan pembaruan.
GitLab Juga Menambal CVE-2026-87719
Pada pembaruan keamanan yang sama, GitLab memperbaiki kerentanan kritikal kedua, yaitu CVE-2026-87719.
Celah tersebut berasal dari kelemahan insecure deserialization pada GraphQL subscription serializer dan berdampak pada GitLab Enterprise Edition (EE).
Berbeda dengan CVE-2026-85706, eksploitasi CVE-2026-87719 membutuhkan autentikasi. Penyerang juga harus memiliki akses ke Duo Chat.
Dalam kondisi tersebut, pengguna yang memenuhi persyaratan dapat memanfaatkan kerentanan untuk mencuri credential sensitif dan konfigurasi instance Advanced Search.
GitLab Rilis Versi yang Sudah Ditambal
GitLab telah memperbaiki kedua kerentanan tersebut melalui pembaruan untuk Community Edition (CE) dan Enterprise Edition (EE).
Versi yang telah mendapatkan perbaikan mencakup:
- GitLab 19.3.2
- GitLab 19.2.6
- GitLab 19.1 dengan pembaruan terkait
GitLab secara tegas merekomendasikan seluruh administrator instalasi self-managed untuk melakukan upgrade sesegera mungkin.
Sementara itu, pengguna GitLab.com tidak perlu melakukan tindakan karena layanan tersebut sudah menjalankan versi yang telah ditambal. Pelanggan GitLab Dedicated juga tidak perlu melakukan tindakan berdasarkan pemberitahuan perusahaan.
GitLab Punya Riwayat Kerentanan Path Traversal
CVE-2026-85706 bukan pertama kalinya GitLab menghadapi kerentanan path traversal dengan tingkat keparahan maksimum.
Pada Mei 2023, GitLab memperbaiki CVE-2023-2825, yang juga dapat mengekspos data sensitif dari server yang belum diperbarui. Data yang berpotensi terdampak ketika itu mencakup source code, credential pengguna, token, serta file lainnya.
Kerentanan path traversal juga menjadi perhatian regulator keamanan. CISA dan FBI sebelumnya telah mendorong pengembang software untuk mengidentifikasi dan menghilangkan jenis kerentanan tersebut sebelum produk dirilis.
GitLab juga menghadapi kerentanan keamanan lain dalam beberapa tahun terakhir. Pada Januari 2026, perusahaan memperbaiki celah two-factor authentication (2FA) bypass dengan tingkat keparahan tinggi yang dapat memungkinkan penyerang melewati perlindungan 2FA jika mengetahui account ID target.
Empat Kerentanan GitLab Pernah Dieksploitasi
Risiko terhadap instalasi GitLab yang terekspos internet semakin besar karena CISA telah memasukkan empat kerentanan GitLab ke dalam daftar kerentanan yang diketahui telah dieksploitasi dalam serangan sejak November 2021.
Dua di antaranya, CVE-2021-22175 dan CVE-2021-39935, ditambahkan ke daftar tersebut pada Februari 2026.
Dengan adanya aktivitas probing terhadap CVE-2026-85706, administrator GitLab self-managed sebaiknya memperlakukan pembaruan ini sebagai prioritas.
GitLab merupakan platform DevSecOps yang digunakan oleh lebih dari 30 juta pengguna terdaftar dan menurut perusahaan digunakan oleh lebih dari separuh perusahaan dalam daftar Fortune 100. Lingkungan tersebut termasuk organisasi besar seperti Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs, dan UBS.
Bagi administrator yang menjalankan GitLab sendiri, langkah paling penting saat ini adalah segera memperbarui instalasi ke versi yang telah ditambal dan memeriksa log untuk aktivitas mencurigakan, terutama request menuju repository commits API dengan parameter file.path.
Sumber: GitLab
