Skip to content

Security Advisories

KUTIM-CSIRT Publications

Articles, advisories, and other editorial content on this page are available in Indonesian only.

Security Advisories

Peringatan Keamanan: GitLab CE/EE (CVE-2026-97229), Eksekusi Kode Jarak Jauh Tanpa Login Dieksploitasi Aktif

Adam  ·  30 Oct 2026  ·  KUTIM-SA-2026-092  ·  TLP:CLEAR  ·  1 views

Peringatan Keamanan: GitLab CE/EE (CVE-2026-97229), Eksekusi Kode Jarak Jauh Tanpa Login Dieksploitasi Aktif
Sumber: Artikel ini diterbitkan oleh KUTIM-CSIRT berdasarkan rilis keamanan resmi GitLab tanggal 12 Oktober 2026 (GitLab 19.4.2, 19.3.5, dan 19.2.8) dan katalog KEV CISA, yang memasukkan CVE-2026-97229 pada 29 Oktober 2026. Nomor CVE, skor, dan versi terdampak telah kami cocokkan dengan NVD. Hingga artikel ini diterbitkan, BSSN/Id-SIRTII belum menerbitkan edaran untuk kerentanan ini. Dokumen asli: GitLab – Patch Release 19.4.2, 19.3.5, 19.2.8.

KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur, termasuk pengembang dan vendor aplikasi, yang mengelola server GitLab sendiri (self-managed, edisi CE maupun EE) untuk segera memperbarui GitLab. Kerentanan CVE-2026-97229 memungkinkan penyerang menjalankan kode di server GitLab tanpa login dengan skor CVSS tertinggi, 10,0. Sejak 29 Oktober 2026 CISA menyatakan celah ini sudah dieksploitasi dalam serangan nyata.

Server GitLab menyimpan kode sumber aplikasi, kata sandi dan token yang tertanam di repositori, serta variabel CI/CD yang sering berisi kredensial produksi. Pengambilalihan server GitLab dapat berlanjut ke pengambilalihan seluruh aplikasi yang dibangun dan di-deploy dari server tersebut.

Ikhtisar

CVE & SkorJenis Kerentanan
CVE-2026-97229
Critical
CVSS 3.1: 10,0
Masuk KEV CISA 29 Okt 2026		 Eksekusi kode jarak jauh tanpa autentikasi melalui regular expression yang dirancang khusus di konfigurasi CI/CD, akibat validasi regular expression yang tidak memadai (CWE-190, integer overflow)

Dampak

  • Pengambilalihan server GitLab tanpa login. Penyerang dapat menjalankan perintah di server dengan hak akses layanan GitLab, lalu membaca atau mengubah seluruh repositori, isu, dan konfigurasi.
  • Kebocoran rahasia. Token akses, variabel CI/CD, kunci deploy, dan kredensial yang tersimpan di server dapat dicuri dan dipakai untuk menyerang sistem lain.
  • Serangan rantai pasok. Penyerang dapat menyisipkan kode berbahaya ke repositori atau pipeline, sehingga ikut terpasang di aplikasi produksi saat proses build dan deploy berikutnya.

Sistem yang Terdampak

GitLab Community Edition (CE) dan Enterprise Edition (EE) yang dikelola sendiri (self-managed). GitLab Runner tidak terdampak secara langsung karena celah ada di aplikasi server GitLab.

Cabang GitLabTerdampak → Versi Perbaikan
19.4sebelum 19.4.2 → 19.4.2 atau lebih baru
19.3sebelum 19.3.5 → 19.3.5 atau lebih baru
19.2sebelum 19.2.8 → 19.2.8 atau lebih baru
19.5tidak terdampak (rilis sesudah perbaikan)
19.1 dan lebih lamatidak tercantum sebagai terdampak di NVD, tetapi sudah di luar masa dukungan keamanan → rencanakan pembaruan ke cabang yang masih didukung

Rekomendasi

  1. Periksa versi GitLab: sudo gitlab-rake gitlab:env:info, atau cat /opt/gitlab/embedded/service/gitlab-rails/VERSION pada instalasi Omnibus.
  2. Buat cadangan sebelum pembaruan: sudo gitlab-backup create, ditambah salinan /etc/gitlab/gitlab.rb dan /etc/gitlab/gitlab-secrets.json. Kedua berkas ini tidak ikut dalam cadangan bawaan dan wajib ada untuk pemulihan.
  3. Perbarui ke versi patch terbaru dari cabang yang dipakai, atau ke rilis terbaru. Ikuti jalur pembaruan resmi GitLab: versi 19.2 dan 19.5 adalah required upgrade stop, jadi jangan melompati versi tersebut, dan pastikan background migrations sudah selesai sebelum melanjutkan ke versi berikutnya.
  4. Periksa hasil pembaruan: sudo gitlab-ctl status, sudo gitlab-rake gitlab:check SANITIZE=true, lalu uji login, clone repositori, dan jalankan satu pipeline.
  5. Pasang ulang kustomisasi tampilan bila ada. Perubahan yang dibuat langsung pada berkas di /opt/gitlab, misalnya halaman login khusus, tertimpa setiap kali GitLab diperbarui. Simpan salinannya di luar /opt/gitlab, atau gunakan menu Admin → Settings → Appearance yang tidak tertimpa.

Langkah sementara untuk server yang belum dapat diperbarui. GitLab tidak menyediakan workaround resmi. Untuk memperkecil risiko sampai pembaruan diterapkan:

  • Batasi akses ke server GitLab hanya dari jaringan internal atau VPN.
  • Matikan pendaftaran akun terbuka (Admin → Settings → General → Sign-up restrictions).

Periksa tanda-tanda serangan. GitLab belum merilis indikator serangan yang spesifik. Periksa hal-hal berikut sejak 12 Oktober 2026:

  • Proses tidak wajar yang dijalankan oleh pengguna git, misalnya shell, curl, wget, atau program di /tmp.
  • Lonjakan CPU atau memori pada proses puma dan sidekiq.
  • Akun, token akses, kunci SSH, atau webhook baru yang tidak dikenal (Admin → Users dan Admin → Monitoring → Audit events bila tersedia).
  • Pipeline atau perubahan berkas .gitlab-ci.yml yang tidak dikenali di log /var/log/gitlab/gitlab-rails/production_json.log.

Bila menemukan indikasi, jangan menghapus log atau memulihkan server sebelum berkoordinasi. Segera ganti token dan kredensial yang tersimpan di GitLab, lalu laporkan melalui formulir laporan insiden.

Catatan Status Eksploitasi

CISA memasukkan CVE-2026-97229 ke katalog KEV pada 29 Oktober 2026 dengan tenggat perbaikan 1 November 2026 bagi instansi federal Amerika Serikat. Detail teknis serangan dan indikator serangan belum dipublikasikan. Artikel ini akan diperbarui bila ada informasi baru.

Referensi

Back to Articles