Peringatan Keamanan

Publikasi KUTIM-CSIRT

Peringatan Keamanan

Peringatan Keamanan: Rekapitulasi Kerentanan Kritis GitLab CE/EE, Termasuk CVE-2026-85706 yang Dieksploitasi Aktif (September 2026)

Adam  ·  25 Sep 2026  ·  KUTIM-SA-2026-072  ·  TLP:CLEAR

Peringatan Keamanan: Rekapitulasi Kerentanan Kritis GitLab CE/EE, Termasuk CVE-2026-85706 yang Dieksploitasi Aktif (September 2026)
Sumber: Artikel ini diterbitkan ulang oleh KUTIM-CSIRT berdasarkan Security Advisory (Imbauan Keamanan) “Kerentanan pada GitLab (CVE-2026-85706)” yang dipublikasikan BSSN/Id-SIRTII pada 23 September 2026. Nomor CVE, skor, dan versi terdampak bersumber dari edaran tersebut beserta lampiran resminya, lalu dilengkapi dan diverifikasi ulang ke NVD serta rilis patch resmi GitLab. Dokumen asli: Security Advisory : Kerentanan pada GitLab (CVE-2026-85706) – BSSN/Id-SIRTII.

KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan server GitLab self-managed (Community Edition maupun Enterprise Edition) untuk segera memperbarui ke versi perbaikan. Empat kerentanan berskor kritis perlu ditindaklanjuti: CVE-2026-85706 (CVSS 10,0), yang memungkinkan penyerang tanpa akun membaca berkas sembarang di server GitLab dan telah masuk katalog Known Exploited Vulnerabilities (KEV) CISA pada 11 September 2026, serta CVE-2026-87719, CVE-2026-93577, dan CVE-2026-89078 (masing-masing CVSS 9,9).

GitLab biasanya menyimpan kode sumber aplikasi, kredensial layanan, dan konfigurasi pipeline CI/CD sebuah instansi. Karena itu, kompromi pada server GitLab berdampak luas, bukan hanya pada satu aplikasi.

Ikhtisar

Edaran BSSN membahas satu kerentanan, CVE-2026-85706. KUTIM-CSIRT melengkapinya dengan tiga kerentanan lain berskor 9,9 yang diperbaiki pada patch release berikutnya (hingga 23 September 2026), sehingga operator GitLab cukup melakukan satu kali peningkatan ke versi terbaru pada cabangnya.

  • CVE-2026-85706 (CWE-22, path traversal), vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N. Pembatasan jalur yang tidak tepat dan tidak diterapkannya autentikasi pada API commit repositori memungkinkan pengguna anonim membaca berkas sembarang dari server GitLab. Mengenai GitLab CE dan EE.
  • CVE-2026-87719 (CWE-502, insecure deserialization), vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Pengguna terautentikasi yang memiliki akses Duo Chat dapat memperoleh konfigurasi instans Advanced Search beserta kredensial sensitif melalui argumen GraphQL subscription yang dirancang khusus. Hanya mengenai GitLab EE.
  • CVE-2026-93577 (CWE-190, integer overflow), vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Pengguna terautentikasi dapat menjalankan kode di server GitLab melalui ekspresi reguler (regular expression) yang dirancang khusus pada konfigurasi CI/CD. Mengenai CE dan EE.
  • CVE-2026-89078 (CWE-415, double free), vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L. Pengguna terautentikasi dapat menjalankan kode di server GitLab lewat pengurai ekspresi reguler pada konfigurasi CI/CD. Mengenai CE dan EE.
Catatan pelengkap dan penegasan terhadap edaran: (1) Edaran BSSN hanya memuat CVE-2026-85706; tiga CVE lainnya ditambahkan oleh KUTIM-CSIRT dari NVD dan patch release resmi GitLab. (2) Edaran mencantumkan rentang terdampak 18.7.0 sampai sebelum 19.1.8 dan menyarankan pembaruan ke 19.1.8, 19.2.6, atau 19.3.2. Menurut NVD dan GitLab, perbaikan juga tersedia untuk cabang 18.11 (18.11.12) dan 19.0 (19.0.9), yang dibackport GitLab pada 23 September 2026; operator yang masih berada di cabang tersebut dapat memakai build itu. (3) Sebagian besar kerentanan lain pada daftar ini mensyaratkan akun yang sudah masuk; hanya CVE-2026-85706 yang dapat dieksploitasi tanpa akun.

Dampak

  • CVE-2026-85706: penyerang dari internet tanpa akun dapat membaca berkas sensitif di server GitLab, misalnya berkas konfigurasi dan berkas rahasia. Skor 10,0 dengan scope changed menunjukkan dampak melampaui komponen yang rentan.
  • CVE-2026-93577 dan CVE-2026-89078: pengguna terautentikasi, termasuk akun anggota proyek yang sah atau akun yang kredensialnya dicuri, dapat mengeksekusi kode di server GitLab. Ini setara dengan penguasaan server dan data seluruh proyek.
  • CVE-2026-87719: kredensial sensitif konfigurasi Advanced Search dapat bocor ke pengguna terautentikasi yang berhak memakai Duo Chat.
  • Kebocoran token, kunci deploy, dan variabel CI/CD dari GitLab dapat dipakai penyerang untuk masuk ke server produksi, repositori kode, dan layanan lain yang tersambung ke pipeline.

Sistem yang Terdampak

ProdukVersi TerdampakVersi Perbaikan
GitLab EE cabang 18.3 hingga 18.11 (CVE-2026-87719); GitLab CE/EE cabang 18.7 hingga 18.11 (CVE-2026-85706)EE 18.3.0 hingga 18.11.11 (CVE-2026-87719); CE/EE 18.7.0 hingga 18.11.11 (CVE-2026-85706)18.11.12 atau lebih baru
GitLab CE/EE cabang 19.0 (CVE-2026-85706; CVE-2026-87719 hanya EE)19.0.0 hingga 19.0.819.0.9 atau lebih baru
GitLab CE/EE cabang 19.1 (CVE-2026-85706; CVE-2026-87719 hanya EE)19.1.0 hingga 19.1.719.1.8 atau lebih baru
GitLab CE/EE cabang 19.2 (semua empat CVE; CVE-2026-87719 hanya EE)19.2.0 hingga 19.2.619.2.7 atau lebih baru
GitLab CE/EE cabang 19.3 (semua empat CVE; CVE-2026-87719 hanya EE)19.3.0 hingga 19.3.219.3.3 atau lebih baru
GitLab CE/EE cabang 19.4 (CVE-2026-93577 dan CVE-2026-89078)19.4.019.4.1 atau lebih baru

CVE-2026-93577 dan CVE-2026-89078 hanya mengenai cabang 19.2 ke atas. Versi 19.1 ke bawah tidak terdampak oleh keduanya, tetapi tetap terdampak CVE-2026-85706. GitLab.com dan GitLab Dedicated sudah menjalankan versi yang ditambal sehingga tidak memerlukan tindakan; tabel ini hanya berlaku untuk instalasi self-managed.

Rincian CVE

CVESkor CVSSJenisRingkasan
CVE-2026-8570610,0Path traversal (CWE-22)Pembacaan berkas sembarang di server GitLab tanpa autentikasi lewat API commit repositori. Rilis perbaikan 10 September 2026 (19.3.2, 19.2.6, 19.1.8); backport 19.0.9 dan 18.11.12 pada 23 September 2026. Masuk KEV 11 September 2026.
CVE-2026-877199,9Insecure deserialization (CWE-502)Pembocoran konfigurasi dan kredensial Advanced Search ke pengguna terautentikasi pemakai Duo Chat (hanya EE).
CVE-2026-935779,9Integer overflow (CWE-190)Eksekusi kode oleh pengguna terautentikasi lewat kompilasi ekspresi reguler pada konfigurasi CI/CD. Diperbaiki 23 September 2026.
CVE-2026-890789,9Double free (CWE-415)Eksekusi kode oleh pengguna terautentikasi lewat penguraian ekspresi reguler pada konfigurasi CI/CD. Diperbaiki 23 September 2026.

Detail Teknis

CVE-2026-85706 adalah kombinasi dua kekeliruan pada API commit repositori: jalur berkas yang diminta tidak dikurung dengan benar ke dalam direktori yang diizinkan, dan pemeriksaan autentikasi tidak diberlakukan pada titik akhir (endpoint) tersebut. Karena tidak butuh akun, server GitLab yang dapat dijangkau dari internet dapat dipindai dan dieksploitasi secara massal. GitLab menyatakan telah merilis tiga aturan deteksi untuk membantu pelanggan self-managed menelusuri upaya eksploitasi.

CVE-2026-93577 dan CVE-2026-89078 berada pada mesin ekspresi reguler yang dipakai saat membaca konfigurasi CI/CD. Kesalahan manajemen memori (luapan bilangan bulat dan pembebasan memori ganda) dapat dimanfaatkan oleh pengguna terautentikasi yang dapat memengaruhi konfigurasi tersebut. GitLab menyatakan celah ini dilaporkan melalui program bug bounty-nya dan rincian isu publik baru dibuka 90 hari setelah rilis.

Rincian teknis yang lebih dalam tidak dimuat di sini karena dapat langsung dimanfaatkan terhadap server yang belum diperbarui.

Rekomendasi

  1. Inventarisasi seluruh server GitLab self-managed di Perangkat Daerah, termasuk instalasi lama, instans uji, dan yang dikelola pihak ketiga, lalu periksa versinya (Help atau Admin Area).
  2. Perbarui GitLab ke versi perbaikan pada cabang yang dipakai: 18.11.12, 19.0.9, 19.1.8, 19.2.7, 19.3.3, 19.4.1, atau yang lebih baru (lihat tabel). Ikuti jalur peningkatan (upgrade path) resmi GitLab dan buat pencadangan lebih dulu.
  3. Batasi akses jaringan ke GitLab (khususnya API) sampai pembaruan diterapkan: hanya dari jaringan kantor atau VPN, tidak terbuka bebas ke internet bila tidak diperlukan.
  4. Telusuri tanda eksploitasi CVE-2026-85706 pada log akses, terutama permintaan ke API commit repositori yang memuat urutan penelusuran direktori atau yang menyasar berkas konfigurasi. Aktifkan aturan deteksi yang disediakan GitLab bila tersedia.
  5. Bila server pernah terbuka ke internet pada versi rentan, anggap berkas rahasia dapat telah terbaca: ganti rahasia aplikasi, token akses pribadi dan token deploy, token runner, serta variabel CI/CD yang menyimpan kredensial, dan periksa pipeline serta akun yang tidak dikenal.
  6. Tinjau akun pengguna: nonaktifkan akun yang tidak dipakai, batasi pembuatan akun mandiri, dan wajibkan autentikasi multifaktor, karena sebagian kerentanan lain memerlukan akun sah.
  7. Laporkan ke KUTIM-CSIRT melalui kanal pelaporan resmi atau csirt@kutaitimurkab.go.id apabila ditemukan indikasi penyusupan.

Catatan Status Eksploitasi

CVE-2026-85706 tercatat di katalog KEV CISA sejak 11 September 2026, sehingga eksploitasinya sudah teramati di dunia nyata, dan GitLab menyebutkan CVE ini telah ditambahkan ke katalog tersebut. CVE-2026-87719, CVE-2026-93577, dan CVE-2026-89078 belum tercatat di KEV CISA per 25 September 2026. Ketiganya tetap perlu ditambal segera: kerentanan yang memungkinkan eksekusi kode oleh pengguna terautentikasi sangat bernilai bagi penyerang yang telah memegang satu akun.

Referensi

Kembali ke Artikel