CISA memasukkan CVE-2026-97229 di GitLab Community Edition dan Enterprise Edition ke katalog Known Exploited Vulnerabilities (KEV) pada 29 Oktober 2026. Celah ini bernilai CVSS 10,0 dan memungkinkan pengguna tanpa login menjalankan kode di server GitLab. Tim GitLab sudah merilis perbaikannya sejak 12 Oktober 2026, jadi masalah utamanya kini ada pada instansi dan perusahaan yang belum memperbarui server self-managed.
Apa yang terjadi
Menurut advisori GitLab, penyebabnya integer overflow di kompiler ekspresi reguler untuk konfigurasi CI/CD. Validasi ekspresi reguler yang kurang memadai membuat penyerang bisa memasukkan pola buatan ke konfigurasi CI/CD dan memicu eksekusi kode. Peneliti dengan nama joaxcar menemukan celah ini lewat program bug bounty GitLab di HackerOne.
Pengelola Ruby menjelaskan akar masalahnya ada di mesin ekspresi reguler Onigmo milik Ruby. Mereka merilis Ruby 3.3.13, 3.4.12, dan 4.0.9 pada 23 Oktober 2026 dengan perbaikan yang berkaitan. GitLab sendiri yang melaporkan masalah itu ke Ruby.
Eksploitasi nyata pertama kali diumumkan oleh proyek Alpine Linux pada 28 Oktober 2026. Menurut laporan PBX Science yang merangkum pengumuman itu, sebuah akun baru mulai menguji server GitLab Alpine sejak 20 Oktober, dan konfigurasi CI buatan membuat proses pekerja crash delapan kali pada 20 sampai 21 Oktober. Alpine tidak menemukan bukti kode penyerang berjalan, tetapi tidak bisa menyingkirkan kemungkinan itu karena sebagian log sudah hilang. Rincian ini baru kami temukan di satu sumber sekunder.
Versi terdampak dan perbaikan
GitLab CE/EE seri 19.2 sebelum 19.2.8, seri 19.3 sebelum 19.3.5, dan seri 19.4 sebelum 19.4.2 terdampak. Versi yang sudah diperbaiki adalah 19.2.8, 19.3.5, dan 19.4.2. GitLab.com dan GitLab Dedicated sudah ditambal, sehingga pengelola layanan itu tidak perlu bertindak.
Laporan PBX Science menambahkan bahwa satu celah Onigmo lain, CVE-2026-110264, baru tertutup di 19.4.3, 19.3.6, dan 19.2.9. Karena itu pilih rilis terbaru di cabang yang Anda pakai, bukan sekadar versi minimum. CISA juga menetapkan tenggat 1 November 2026 bagi lembaga federal AS. Pada hari yang sama pekan ini CISA turut menandai celah Brotli di Node.js, jadi tim yang mengelola banyak perangkat lunak pengembang punya dua pekerjaan tambal sekaligus.
Langkah yang perlu diambil
Pengelola GitLab self-managed sebaiknya memperbarui ke versi di atas hari ini. Paket Omnibus dan image resmi sudah membawa Ruby yang diperbaiki. Instalasi dari kode sumber atau image buatan sendiri perlu memperbarui Ruby ke 3.3.13, 3.4.12, atau 4.0.9, lalu me-restart layanan Puma dan Sidekiq. Ruby 3.2 sudah habis masa dukungnya dan tidak menerima perbaikan, menurut laporan sekunder tadi, jadi seri itu harus dinaikkan.
GitLab tidak mencantumkan solusi sementara di advisorinya, tetapi menerbitkan enam deteksi ancaman untuk mengenali percobaan eksploitasi di instance self-managed. Periksa log untuk crash worker yang tidak biasa pada layanan lint CI. Bila ada tanda kode berjalan, anggap server telah dibobol, lalu putar semua token, kunci rahasia, dan kata sandi yang tersimpan di sana.
Sumber: GitLab Patch Release 19.4.2, Ruby: Regexp fixes for GitLab CVEs, dan PBX Science. Gambar: PBX Science.