GitLab Peringatkan Celah RCE Kritis CVE-2026-97229 dengan Skor CVSS 10.0, Pengguna Diminta Segera Update

GitLab mengeluarkan peringatan keamanan terkait vulnerability kritis pada komponen CI/CD Regular Expression Compiler yang memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh atau remote code execution (RCE) pada server yang rentan.

Celah keamanan yang dilacak sebagai CVE-2026-97229 tersebut memiliki skor CVSS 10.0, nilai tertinggi dalam sistem penilaian tingkat keparahan vulnerability. Dalam kondisi tertentu, celah ini memungkinkan penyerang tanpa autentikasi menjalankan arbitrary code pada server GitLab melalui regular expression yang dirancang secara khusus.

Kerentanan tersebut memengaruhi GitLab Community Edition (CE) dan Enterprise Edition (EE), terutama instalasi self-managed yang belum menerapkan pembaruan keamanan terbaru.

Untuk mengatasi ancaman tersebut, GitLab merilis pembaruan keamanan pada 12 Oktober 2026 dan meminta seluruh administrator segera melakukan upgrade ke versi yang telah mendapatkan perbaikan.

CVE-2026-97229 Berasal dari Integer Overflow pada CI/CD

Berdasarkan security advisory resmi GitLab, CVE-2026-97229 disebabkan oleh kelemahan integer overflow pada komponen CI/CD Regular Expression Compiler.

Komponen ini bertanggung jawab memproses, mengompilasi, dan mengevaluasi regular expression yang digunakan dalam konfigurasi CI/CD pipeline.

Regular expression sendiri merupakan pola pencocokan teks yang digunakan dalam berbagai proses otomatisasi, termasuk menentukan kondisi tertentu dalam pipeline berdasarkan konfigurasi proyek.

Dalam GitLab CI/CD, regular expression dapat digunakan untuk mengatur kapan suatu job dijalankan berdasarkan kondisi yang telah ditentukan.

Namun, kelemahan validasi pada proses tersebut memungkinkan input tertentu memicu kesalahan perhitungan integer.

Integer overflow terjadi ketika suatu operasi aritmetika menghasilkan nilai yang berada di luar rentang yang dapat direpresentasikan oleh tipe data yang digunakan.

Dalam implementasi perangkat lunak yang rentan, kondisi tersebut dapat memicu perilaku tidak terduga dan berpotensi membuka peluang terjadinya eksploitasi keamanan.

Pada kasus CVE-2026-97229, GitLab menemukan bahwa regular expression yang dibuat secara khusus dapat mengeksploitasi kelemahan validasi tersebut sehingga memungkinkan eksekusi kode pada server.

Yang membuat vulnerability ini sangat berbahaya adalah kemungkinan eksploitasi tanpa memerlukan akun atau kredensial pengguna.

Penyerang Berpotensi Menjalankan Kode Tanpa Autentikasi

GitLab menjelaskan bahwa CVE-2026-97229 memungkinkan pengguna yang belum terautentikasi menjalankan arbitrary code pada server dalam kondisi tertentu.

Eksploitasi dilakukan melalui regular expression berbahaya yang diproses oleh komponen CI/CD.

Apabila eksploitasi berhasil, penyerang berpotensi memperoleh kemampuan menjalankan instruksi pada sistem yang mengoperasikan GitLab.

Dampak serangan dapat bergantung pada konfigurasi server, hak akses proses GitLab, serta mekanisme perlindungan tambahan yang diterapkan oleh administrator.

Dalam skenario kompromi server, kemampuan menjalankan kode dapat membuka peluang bagi penyerang untuk mengakses informasi sensitif, mengubah konfigurasi, atau mengganggu operasional layanan.

Risiko tersebut menjadi semakin serius karena GitLab sering digunakan sebagai pusat pengelolaan source code dan proses pengembangan perangkat lunak dalam organisasi.

Banyak perusahaan juga mengintegrasikan GitLab dengan deployment pipeline, container registry, sistem pengujian otomatis, dan infrastruktur cloud.

Jika instance GitLab berhasil dikompromikan, penyerang berpotensi menjangkau berbagai komponen yang terhubung dengan lingkungan pengembangan, bergantung pada hak akses dan kredensial yang tersedia.

Namun, GitLab belum mengumumkan adanya kampanye eksploitasi aktif terhadap CVE-2026-97229 dalam advisory yang diterbitkan pada 12 Oktober 2026.

CVE-2026-97229 Mendapat Skor CVSS Maksimum 10.0

CVE-2026-97229 diklasifikasikan sebagai vulnerability dengan tingkat keparahan Critical dan memperoleh skor CVSS 3.1 sebesar 10.0.

Penilaian tersebut menunjukkan kombinasi karakteristik keamanan yang sangat serius.

Berdasarkan vektor CVSS yang dipublikasikan GitLab, vulnerability ini dapat dieksploitasi melalui jaringan dengan tingkat kompleksitas serangan rendah.

Eksploitasi juga tidak membutuhkan hak akses sebelumnya maupun interaksi dari pengguna yang menjadi target.

Selain itu, dampak potensial terhadap confidentiality, integrity, dan availability dikategorikan tinggi.

Ketiga aspek tersebut merupakan komponen utama dalam penilaian keamanan sistem.

Confidentiality berkaitan dengan perlindungan informasi dari akses tidak sah, integrity berhubungan dengan keutuhan dan keakuratan data, sedangkan availability mencerminkan kemampuan sistem untuk tetap menyediakan layanan.

Kombinasi karakteristik tersebut menjelaskan mengapa GitLab memberikan prioritas tertinggi terhadap perbaikan CVE-2026-97229.

Dengan tingkat keparahan maksimum, administrator tidak disarankan menunda pembaruan meskipun belum ditemukan bukti eksploitasi aktif secara luas.

Versi GitLab yang Terdampak dan Telah Diperbaiki

GitLab memastikan bahwa CVE-2026-97229 memengaruhi sejumlah versi GitLab CE dan EE pada cabang rilis 19.2, 19.3, dan 19.4.

Versi terdampak mencakup GitLab 19.2 sebelum 19.2.8, GitLab 19.3 sebelum 19.3.5, serta GitLab 19.4 sebelum 19.4.2.

Untuk menutup celah tersebut, perusahaan telah menyediakan pembaruan keamanan melalui tiga versi berikut:

• GitLab 19.2.8 untuk instalasi pada cabang 19.2.
• GitLab 19.3.5 untuk instalasi pada cabang 19.3.
• GitLab 19.4.2 untuk instalasi pada cabang 19.4.

GitLab menegaskan bahwa seluruh instalasi self-managed yang menggunakan versi rentan perlu segera diperbarui.

Perusahaan juga menyarankan administrator menggunakan patch release terbaru pada cabang yang masih mendapatkan dukungan resmi.

Untuk layanan GitLab.com, perusahaan memastikan bahwa infrastruktur cloud yang dikelolanya telah menggunakan versi yang mendapatkan perbaikan keamanan.

Sementara itu, pelanggan GitLab Dedicated tidak perlu melakukan tindakan tambahan karena pembaruan ditangani langsung oleh GitLab.

Rekomendasi upgrade terutama ditujukan kepada organisasi yang menjalankan GitLab secara mandiri, baik melalui instalasi paket, source code, maupun metode deployment lainnya.

Celah Ditemukan Melalui Program Bug Bounty HackerOne

Vulnerability CVE-2026-97229 ditemukan oleh seorang security researcher yang menggunakan nama joaxcar.

Peneliti tersebut melaporkan temuannya melalui program bug bounty GitLab yang diselenggarakan menggunakan platform HackerOne.

Program bug bounty memungkinkan peneliti keamanan independen melaporkan vulnerability secara bertanggung jawab kepada vendor sebelum informasi teknis eksploitasi dipublikasikan secara luas.

Melalui mekanisme tersebut, pengembang dapat melakukan investigasi, memvalidasi dampak keamanan, serta menyiapkan patch untuk melindungi pengguna.

GitLab kemudian memperbaiki kelemahan validasi regular expression yang menjadi penyebab CVE-2026-97229.

Perusahaan juga menjelaskan bahwa rincian teknis mengenai vulnerability yang telah diperbaiki biasanya dipublikasikan melalui issue tracker setelah periode tertentu.

GitLab menerapkan kebijakan publikasi detail vulnerability sekitar 90 hari setelah pembaruan keamanan dirilis.

Pendekatan ini bertujuan memberikan waktu kepada administrator untuk menerapkan patch sebelum informasi teknis yang lebih lengkap tersedia bagi publik.

GitLab Sebelumnya Perbaiki Celah Kritis CVE-2026-85706

CVE-2026-97229 merupakan salah satu dari sejumlah vulnerability serius yang diperbaiki GitLab sepanjang 2026.

Pada September lalu, perusahaan juga merilis pembaruan untuk menutup celah kritis CVE-2026-85706 yang memengaruhi GitLab CE dan EE.

Vulnerability tersebut berkaitan dengan kelemahan path traversal yang memungkinkan penyerang tanpa autentikasi membaca informasi sensitif dari server yang rentan.

Data yang berpotensi diakses mencakup kredensial dan berbagai informasi rahasia yang tersimpan pada sistem.

Ancaman tersebut mendapat perhatian khusus setelah Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat memasukkan CVE-2026-85706 ke dalam katalog Known Exploited Vulnerabilities (KEV).

Penambahan tersebut dilakukan pada 11 September 2026 setelah ditemukan bukti bahwa vulnerability telah dieksploitasi dalam serangan nyata.

CISA kemudian menginstruksikan lembaga federal Amerika Serikat yang tercakup dalam ketentuan terkait untuk segera memperbaiki sistem mereka dalam waktu tiga hari.

Langkah tersebut menunjukkan bahwa celah keamanan GitLab tidak hanya menjadi ancaman teoretis, tetapi juga dapat menjadi target eksploitasi aktif oleh threat actor.

Selain CVE-2026-85706, GitLab sebelumnya juga memperbaiki vulnerability CVE-2026-0723 pada Januari 2026.

Celah tersebut memungkinkan bypass terhadap mekanisme two-factor authentication (2FA) dalam kondisi tertentu apabila penyerang mengetahui informasi identifikasi akun target.

Serangkaian temuan tersebut memperlihatkan pentingnya pembaruan keamanan rutin pada platform yang digunakan untuk mengelola source code dan infrastruktur pengembangan perangkat lunak.

CISA Catat Sejumlah Celah GitLab Dieksploitasi dalam Serangan Nyata

Berdasarkan katalog Known Exploited Vulnerabilities milik CISA, setidaknya lima vulnerability GitLab telah diketahui digunakan dalam serangan sejak November 2021.

Beberapa kelemahan tersebut memungkinkan penyerang memperoleh akses tidak sah, mengambil alih akun, maupun mengeksploitasi sistem yang belum mendapatkan patch.

Salah satu vulnerability GitLab yang sebelumnya masuk dalam katalog tersebut bahkan diketahui pernah dimanfaatkan oleh kelompok ransomware.

Eksploitasi terhadap platform pengembangan perangkat lunak dapat memberikan dampak yang lebih luas dibandingkan kompromi terhadap aplikasi biasa.

Hal ini disebabkan GitLab sering menyimpan repository source code, konfigurasi CI/CD, deployment token, serta informasi yang digunakan untuk mengakses layanan lain.

Dalam beberapa lingkungan perusahaan, sistem CI/CD juga memiliki izin untuk mengirimkan perubahan aplikasi secara otomatis ke server produksi.

Jika akses tersebut berhasil disalahgunakan, penyerang berpotensi memanfaatkan hubungan kepercayaan antara platform pengembangan dan infrastruktur operasional.

Karena itu, pengamanan GitLab menjadi bagian penting dari strategi software supply chain security.

GitLab Digunakan Jutaan Pengembang dan Perusahaan Besar

Menurut informasi perusahaan, platform DevSecOps GitLab digunakan oleh lebih dari 30 juta pengguna terdaftar di seluruh dunia.

GitLab juga menyatakan bahwa lebih dari separuh perusahaan yang termasuk dalam daftar Fortune 100 menggunakan platformnya.

Sejumlah organisasi besar yang diketahui menggunakan GitLab antara lain Nvidia, T-Mobile, Lockheed Martin, Airbus, dan Goldman Sachs.

GitLab menyediakan berbagai kemampuan untuk mendukung siklus pengembangan perangkat lunak, mulai dari source code management, code review, CI/CD automation, hingga security testing.

Integrasi tersebut memungkinkan tim pengembang mengelola proses pembuatan, pengujian, dan deployment aplikasi melalui satu platform.

Namun, sentralisasi fungsi tersebut juga menjadikan keamanan GitLab sangat penting bagi kelangsungan operasional organisasi.

Sebuah vulnerability pada komponen inti seperti CI/CD Regular Expression Compiler dapat memiliki implikasi serius, khususnya jika instance yang rentan dapat diakses melalui internet.

Organisasi yang menggunakan GitLab self-managed perlu memastikan platform tersebut menjadi bagian dari pemantauan vulnerability dan pengelolaan patch secara berkelanjutan.

Administrator GitLab Diminta Segera Melakukan Pembaruan

Menanggapi CVE-2026-97229, GitLab meminta seluruh pengguna self-managed segera memperbarui instalasi yang terdampak.

Administrator disarankan terlebih dahulu memeriksa versi GitLab yang sedang digunakan dan membandingkannya dengan daftar versi yang telah menerima perbaikan.

Pada instalasi Linux package, versi GitLab dapat diperiksa melalui antarmuka administrasi atau utilitas pengelolaan paket yang tersedia.

Sebelum melakukan upgrade, organisasi perlu memastikan backup database, repository, dan konfigurasi penting telah tersedia sesuai prosedur pemulihan sistem.

Langkah tersebut diperlukan untuk mengurangi risiko gangguan operasional apabila terjadi masalah selama proses pembaruan.

Setelah patch diterapkan, administrator sebaiknya memverifikasi bahwa layanan GitLab, CI/CD pipeline, repository, serta integrasi eksternal tetap berfungsi sebagaimana mestinya.

Organisasi juga disarankan meninjau akses administratif, membatasi eksposur instance GitLab ke jaringan publik apabila tidak diperlukan, serta memastikan kredensial CI/CD memiliki hak akses minimum sesuai kebutuhan.

Pemantauan log keamanan dan aktivitas tidak biasa dapat membantu mendeteksi indikasi kompromi yang mungkin terjadi sebelum patch diterapkan.

Namun, tindakan mitigasi tambahan tersebut tidak menggantikan kebutuhan untuk menginstal pembaruan keamanan resmi.

Dengan skor CVSS maksimum 10.0 dan kemungkinan remote code execution tanpa autentikasi, CVE-2026-97229 menjadi vulnerability berisiko tinggi yang membutuhkan penanganan segera.

GitLab menegaskan bahwa pembaruan ke versi 19.2.8, 19.3.5, atau 19.4.2 merupakan langkah utama untuk melindungi instalasi yang terdampak dari potensi eksploitasi.

Sumber: GitLab Security Advisory