GitLab Rilis Patch untuk Celah Keamanan Tingkat Keparahan Maksimum pada Compiler Regular Expression
GitLab resmi merilis pembaruan keamanan darurat untuk menambal celah kerentanan tingkat keparahan maksimum (maximum-severity) pada fitur Regular Expression Compiler. Celah berbahaya ini dapat dieksploitasi oleh penyerang jarak jauh (remote attackers) tanpa autentikasi untuk menjalankan kode arbitrer di server yang rentan.
Masalah keamanan ini dilacak dengan kode CVE-2026-110264 dan dilaporkan oleh seorang peneliti keamanan dengan nama samaran ‘joaxcar’ melalui program hadiah bug (bug bounty) GitLab di HackerOne. Kerentanan ini berakar dari kelemahan integer overflow pada mesin latar belakang (background engine) Regular Expression Compiler milik GitLab yang bertugas mengurai dan memvalidasi ekspresi reguler di dalam berkas konfigurasi.
GitLab telah memperbaiki kerentanan ini melalui perilisan GitLab Community Edition (CE) dan Enterprise Edition (EE) versi 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, serta 18.11.13, dan mendesak seluruh pengguna untuk segera memasang pembaruan pada instance mereka.
“GitLab telah memulihkan masalah yang, dalam kondisi tertentu, dapat memungkinkan pengguna tanpa autentikasi untuk mengeksekusi kode arbitrer pada server GitLab akibat terjadinya integer overflow saat mengompilasi ekspresi reguler yang dirancang secara khusus,” jelas pihak perusahaan dalam pengumuman resminya.
“Kami sangat menyarankan agar seluruh instalasi yang menjalankan versi terdampak segera ditingkatkan ke versi terbaru sesegera mungkin. Layanan GitLab.com saat ini sudah menjalankan versi yang telah ditambal. Pelanggan GitLab Dedicated yang menjalankan versi 19.3.5-internal0 dan 19.4.2-internal0 atau yang lebih baru sudah menyertakan perbaikan ini dan tidak perlu mengambil tindakan lebih lanjut,” tambah GitLab.
Ribuan Server Terekspos dan Rentetan Celah Kritis Sebelumnya
Lembaga pemantau ancaman internet Shadowserver saat ini melacak adanya lebih dari 2.700 instance GitLab Community Edition yang terekspos secara daring ke internet, meskipun belum ada rincian pasti berapa banyak di antaranya yang merupakan sistem honeypot atau yang sudah diamankan dari potensi serangan.
Peringatan darurat ini muncul hanya berselang sepuluh hari setelah GitLab memperingatkan pelanggannya mengenai kerentanan eksekusi kode jarak jauh (Remote Code Execution / RCE) kritis lainnya (CVE-2026-97229) dengan skor dasar CVSS sempurna 10/10 pada CI/CD Regular Expression Compiler, yang menariknya juga ditemukan dan dilaporkan oleh peneliti keamanan yang sama.
Bulan lalu, perusahaan juga sempat memperbaiki celah tingkat keparahan maksimum lainnya pada GitLab CE/EE (CVE-2026-85706) yang memungkinkan penyerang tanpa autentikasi membaca data sensitif—seperti kredensial dan rahasia sistem lainnya—dari server yang belum ditambal. Hanya berselang sehari setelah pengungkapan tersebut, Badan Keamanan Siber dan Infrastruktur AS (CISA) langsung memasukkan CVE-2026-85706 ke dalam katalog kerentanan yang dieksploitasi secara aktif dan memerintahkan instansi federal untuk mengamankan sistem mereka dalam tenggat waktu tiga hari.
Sejak November 2021, tercatat CISA telah menandai sedikitnya lima celah keamanan GitLab yang dieksploitasi secara aktif di lapangan, termasuk salah satunya yang disalahgunakan dalam kampanye serangan ransomware. Sebagai informasi, platform DevSecOps GitLab saat ini memiliki lebih dari 30 juta pengguna terdaftar di seluruh dunia dan diandalkan oleh lebih dari 50% perusahaan dalam daftar Fortune 100, termasuk raksasa industri seperti Nvidia, T-Mobile, Lockheed Martin, Airbus, hingga Goldman Sachs.
Sumber: GitLab Security Release
