Lebih dari 1.000 Server GitLab Masih Rentan terhadap Serangan RCE, CISA Konfirmasi Eksploitasi Aktif
Lebih dari 1.000 server GitLab yang terhubung ke internet diketahui masih menjalankan versi software rentan terhadap kerentanan kritis CVE-2026-97229, meskipun pembaruan keamanan telah tersedia sejak 12 Oktober 2026.
Temuan tersebut diungkapkan oleh organisasi pemantauan ancaman siber Shadowserver pada 1 November 2026, beberapa hari setelah Cybersecurity and Infrastructure Security Agency (CISA) mengonfirmasi bahwa celah tersebut telah dieksploitasi dalam serangan nyata.
CVE-2026-97229 memiliki skor CVSS 10.0 dan memungkinkan penyerang tanpa autentikasi menjalankan kode berbahaya dari jarak jauh atau Remote Code Execution (RCE) pada server GitLab yang rentan.
Lebih mengkhawatirkan lagi, Shadowserver menemukan lebih dari 11.300 server GitLab lainnya yang masih rentan terhadap CVE-2026-110264, kerentanan kritis berbeda yang juga memungkinkan eksekusi kode jarak jauh.
Shadowserver Temukan Ribuan Server GitLab Belum Diperbarui
Berdasarkan hasil pemantauan Shadowserver, terdapat sekitar 39.000 instalasi GitLab yang terdeteksi setiap hari melalui pemindaian internet.
Dari jumlah tersebut, sebagian masih menggunakan software yang belum mendapatkan perbaikan keamanan terhadap dua kerentanan kritis.
Berikut hasil pemantauan yang diumumkan pada 1 November 2026.
| Kerentanan | Skor CVSS | Server Rentan |
|---|---|---|
| CVE-2026-97229 | 10.0 | Lebih dari 1.000 |
| CVE-2026-110264 | 10.0 | Lebih dari 11.300 |
Kedua kerentanan tersebut berkaitan dengan kelemahan pada komponen Regular Expression Compiler yang digunakan GitLab.
Namun, angka tersebut tidak dapat langsung dijumlahkan sebagai jumlah server unik karena satu instalasi GitLab berpotensi rentan terhadap kedua CVE sekaligus.
Shadowserver juga tidak menyatakan bahwa seluruh server yang ditemukan telah berhasil diretas.
Data tersebut menunjukkan jumlah instalasi yang teridentifikasi rentan berdasarkan pemeriksaan versi dan indikator keamanan.
CVE-2026-97229 Memungkinkan Hacker Menjalankan Kode Tanpa Login
CVE-2026-97229 merupakan kerentanan integer overflow yang ditemukan pada komponen CI/CD Regular Expression Compiler GitLab.
Komponen tersebut bertugas memproses regular expression dalam konfigurasi pipeline CI/CD.
Menurut GitLab, validasi yang tidak memadai memungkinkan penyerang mengirimkan regular expression yang dibuat secara khusus untuk memicu eksekusi kode pada server.
Kerentanan tersebut sangat berbahaya karena dapat dieksploitasi melalui jaringan tanpa memerlukan akun pengguna atau interaksi administrator.
Apabila berhasil, penyerang berpotensi memperoleh akses terhadap sistem GitLab dan informasi sensitif yang dapat dijangkau oleh proses yang dikompromikan.
Data seperti source code, konfigurasi deployment, token akses, dan kredensial CI/CD menjadi perhatian karena GitLab sering digunakan sebagai pusat pengelolaan proses pengembangan software perusahaan.
GitLab telah memperbaiki kerentanan tersebut melalui versi 19.4.2, 19.3.5, dan 19.2.8 pada 12 Oktober 2026.
Namun, hasil pemantauan terbaru menunjukkan bahwa sebagian administrator belum menerapkan pembaruan tersebut.
CISA Masukkan Celah GitLab ke Katalog KEV
Pada 29 Oktober 2026, CISA memasukkan CVE-2026-97229 ke dalam katalog Known Exploited Vulnerabilities (KEV).
Penambahan ini mengonfirmasi bahwa kerentanan tersebut bukan sekadar risiko teoretis, melainkan telah digunakan dalam serangan terhadap sistem yang rentan.
CISA juga mewajibkan lembaga federal Amerika Serikat melakukan mitigasi paling lambat 1 November 2026.
Meski kewajiban tersebut berlaku bagi instansi federal AS, CISA mendorong organisasi swasta untuk segera menangani kerentanan yang sama.
GitLab sendiri telah menyediakan enam mekanisme deteksi untuk membantu pelanggan self-managed memeriksa kemungkinan eksploitasi.
Deteksi tersebut mencakup crash pada proses tertentu, regular expression mencurigakan, serta aktivitas tidak wajar pada fitur validasi konfigurasi CI/CD.
CVE-2026-110264 Ancam Lebih dari 11.300 Server
Selain CVE-2026-97229, Shadowserver menyoroti kerentanan CVE-2026-110264 yang juga memiliki skor CVSS 10.0.
Kerentanan ini berasal dari kelemahan integer overflow dalam pemrosesan regular expression dan berpotensi memungkinkan penyerang tanpa autentikasi menjalankan kode pada server GitLab.
GitLab telah merilis patch untuk kerentanan tersebut pada 21 Oktober 2026.
Namun, Shadowserver masih menemukan lebih dari 11.300 instalasi yang belum mendapatkan perbaikan.
Penting diperhatikan bahwa pembaruan GitLab 19.4.2, 19.3.5, dan 19.2.8 yang memperbaiki CVE-2026-97229 belum mencakup perbaikan CVE-2026-110264.
Karena itu, administrator harus memastikan server menggunakan versi yang telah mengatasi kedua kerentanan.
Versi GitLab yang Direkomendasikan
GitLab menyediakan pembaruan untuk sejumlah cabang Community Edition (CE) dan Enterprise Edition (EE).
Berikut versi minimum yang telah mencakup perbaikan untuk kedua kerentanan, sesuai cabang yang digunakan.
| Cabang GitLab | Versi Minimum yang Diperbaiki |
|---|---|
| 19.5 | 19.5.1 |
| 19.4 | 19.4.3 |
| 19.3 | 19.3.6 |
| 19.2 | 19.2.9 |
| 19.1 | 19.1.9 |
| 19.0 | 19.0.10 |
| 18.11 | 18.11.13 |
Versi tersebut merupakan rilis perbaikan pada 21 Oktober 2026. Administrator disarankan menggunakan patch terbaru yang tersedia untuk cabang yang masih didukung.
Bagi pengguna GitLab yang melakukan instalasi manual atau menggunakan custom container image dengan runtime Ruby tersendiri, GitLab juga memperingatkan perlunya pembaruan Ruby karena perbaikan CVE-2026-110264 berada pada komponen tersebut.
Sementara itu, GitLab.com dan GitLab Dedicated telah mendapatkan perbaikan melalui pembaruan yang dikelola GitLab.
Administrator Diminta Segera Memeriksa Server
Organisasi yang menjalankan GitLab secara mandiri disarankan segera memeriksa versi software, memasang pembaruan keamanan, dan membatasi akses ke antarmuka administrasi dari jaringan yang tidak dipercaya.
Administrator juga perlu memeriksa log CI/CD, aktivitas autentikasi, serta perubahan repository atau konfigurasi yang tidak dikenal.
Jika ditemukan indikasi kompromi, investigasi perlu mencakup kemungkinan pencurian token, kredensial deployment, dan informasi sensitif lainnya.
Pemasangan patch dapat menutup kerentanan, tetapi tidak secara otomatis menghilangkan akses penyerang apabila sistem sebelumnya telah dikompromikan.
Temuan lebih dari 12.000 indikasi instalasi rentan terhadap dua celah kritis GitLab menunjukkan bahwa keterlambatan pembaruan keamanan masih menjadi risiko besar, terutama pada server DevSecOps yang terhubung langsung ke internet.
Sumber: Shadowserver Foundation — Pemantauan Server GitLab Rentan CVE-2026-97229 dan CVE-2026-110264
