CISA Peringatkan Celah GitLab Kritis CVE-2026-85706 Kini Dieksploitasi Hacker
Badan keamanan siber Amerika Serikat, Cybersecurity and Infrastructure Security Agency (CISA), memperingatkan bahwa hacker kini telah mengeksploitasi kerentanan dengan tingkat keparahan maksimum pada platform GitLab dalam serangan di dunia nyata.
Kerentanan yang dilacak sebagai CVE-2026-85706 dapat memungkinkan attacker yang tidak terautentikasi membaca file secara arbitrary dari server GitLab yang rentan. Informasi yang dicuri berpotensi mencakup credentials, secrets, serta data sensitif lainnya.
GitLab merupakan platform DevSecOps yang digunakan oleh lebih dari 50% perusahaan Fortune 100 dan memiliki lebih dari 30 juta pengguna terdaftar di seluruh dunia. Besarnya basis pengguna membuat eksploitasi celah ini menjadi perhatian serius bagi organisasi yang menjalankan GitLab secara self-hosted.
Celah Path Traversal Memungkinkan Pembacaan File
CVE-2026-85706 berasal dari kombinasi missing authentication enforcement dan improper path confinement pada Repository Commits API GitLab.
Dalam kondisi tertentu, attacker tidak perlu memiliki akun atau melakukan autentikasi untuk mengeksploitasi celah tersebut. Dengan mengirimkan request yang telah dibuat khusus, attacker dapat membaca file arbitrary yang tersimpan pada server.
Risikonya menjadi sangat besar apabila file yang dapat dibaca berisi credentials, API keys, private configuration, environment variables, atau secret lain yang dapat digunakan untuk melakukan serangan lanjutan.
Kerentanan ini juga memiliki tingkat keparahan maksimum, sehingga GitLab sebelumnya telah mendesak seluruh pengguna untuk segera memasang pembaruan keamanan.
GitLab Sudah Merilis Patch
GitLab memperbaiki CVE-2026-85706 melalui pembaruan Community Edition (CE) dan Enterprise Edition (EE).
Versi yang telah mendapatkan perbaikan meliputi:
- GitLab 19.3.2
- GitLab 19.2.6
- GitLab 19.1
GitLab meminta administrator segera memperbarui instalasi mereka ke versi yang telah diperbaiki.
Dorongan untuk melakukan patch semakin kuat setelah muncul indikasi bahwa attacker mulai secara aktif mencari server yang masih rentan di internet.
watchTowr Mendeteksi Probing di Dunia Nyata
Perusahaan keamanan siber watchTowr melaporkan bahwa mereka telah mengamati aktivitas scanning terhadap server GitLab yang belum ditambal hanya sehari setelah GitLab merilis perbaikan.
Menurut watchTowr, attacker telah melakukan in-the-wild probing terhadap kerentanan path traversal tersebut. Serangan dapat digunakan untuk membaca arbitrary file hanya dengan satu HTTP request.
watchTowr juga memperingatkan bahwa berdasarkan pola eksploitasi terhadap kerentanan GitLab sebelumnya, periode antara munculnya patch dan eksploitasi massal kemungkinan tidak akan berlangsung lama.
Administrator GitLab disarankan memeriksa log server untuk mencari indikasi percobaan eksploitasi, terutama HTTP POST request menuju endpoint:
/api/v4/projects/{id}/repository/commits/
dengan parameter file.path.
Aktivitas tersebut tidak otomatis membuktikan bahwa server telah berhasil ditembus, tetapi dapat menjadi indikator penting untuk melakukan investigasi lebih lanjut.
CISA Memasukkan CVE-2026-85706 ke KEV Catalog
CISA kemudian menambahkan CVE-2026-85706 ke dalam Known Exploited Vulnerabilities (KEV) Catalog setelah mendapatkan bukti bahwa celah tersebut telah digunakan dalam serangan.
Masuknya sebuah kerentanan ke KEV Catalog menunjukkan bahwa risiko terhadap sistem yang belum diperbarui tidak lagi sekadar bersifat teoritis.
Untuk lembaga pemerintah federal Amerika Serikat, kewajiban berdasarkan Binding Operational Directive (BOD) 26-04 memberikan waktu tiga hari untuk mengamankan sistem yang terdampak.
Meskipun kewajiban tersebut hanya berlaku untuk badan federal, CISA juga meminta organisasi sektor swasta dan administrator jaringan lainnya mengikuti pendekatan serupa dengan memprioritaskan kerentanan yang telah masuk ke KEV Catalog.
GitLab Sebelumnya Juga Menjadi Target Eksploitasi
CVE-2026-85706 bukan satu-satunya kerentanan GitLab yang menjadi perhatian komunitas keamanan.
Pada Januari 2026, GitLab juga memperbaiki kerentanan high-severity two-factor authentication (2FA) bypass yang memungkinkan attacker melewati perlindungan 2FA jika mengetahui account ID target.
CISA sendiri telah memasukkan empat kerentanan GitLab ke dalam daftar kerentanan yang diketahui dieksploitasi sejak November 2021. Dua di antaranya, yaitu CVE-2021-22175 dan CVE-2021-39935, baru masuk dalam daftar tersebut pada Februari 2026.
Riwayat tersebut menunjukkan bahwa instalasi GitLab yang dapat diakses dari internet menjadi target menarik bagi attacker, terutama ketika vulnerability baru telah dipublikasikan dan patch sudah tersedia.
Administrator GitLab Disarankan Segera Bertindak
Organisasi yang menjalankan GitLab CE atau EE sebaiknya tidak menunda pembaruan untuk mengurangi risiko eksploitasi CVE-2026-85706.
Selain melakukan upgrade ke versi yang telah diperbaiki, administrator juga sebaiknya memeriksa log untuk mencari request mencurigakan pada Repository Commits API. Jika ditemukan aktivitas yang sesuai dengan pola eksploitasi, pemeriksaan terhadap credentials, API keys, secrets, serta sistem lain yang dapat diakses dari server GitLab perlu dilakukan.
Dengan adanya konfirmasi eksploitasi aktif dan masuknya CVE-2026-85706 ke CISA KEV Catalog, celah ini kini harus diperlakukan sebagai ancaman yang sedang berlangsung, bukan sekadar vulnerability yang berpotensi dieksploitasi di masa depan.
Sumber: CISA
