CVE-2026-85706 GitLab Dieksploitasi Aktif: Segera Tambal Server Self-Managed

CVE-2026-85706 adalah kerentanan path traversal dengan tingkat keparahan maksimum pada GitLab Community Edition (CE) dan Enterprise Edition (EE) yang dikelola sendiri (self-managed). Celah ini mendapat skor CVSS 3.1 10,0 dan, dalam kondisi tertentu, memungkinkan pengguna tanpa autentikasi membaca file arbitrer dari server GitLab. Ini bukan sekadar risiko teoritis: CISA telah memasukkannya ke daftar kerentanan yang diketahui dieksploitasi, sementara peneliti keamanan melaporkan adanya probe terhadap instance yang terbuka ke internet tidak lama setelah patch tersedia. 32122

Prioritas utama: perbarui sekarang

Jika instance GitLab self-managed masih memakai rilis terdampak, segera tingkatkan ke versi perbaikan berikut:

• 19.1.8 atau lebih baru
• 19.2.6 atau lebih baru
• 19.3.2 atau lebih baru

Versi yang terdampak adalah GitLab CE/EE 18.7 sebelum 19.1.8, 19.2 sebelum 19.2.6, dan 19.3 sebelum 19.3.2. GitLab merilis perbaikannya pada 10 September 2026. 37

CISA—badan keamanan siber dan infrastruktur AS—menambahkan CVE-2026-85706 ke katalog Known Exploited Vulnerabilities (KEV) pada 11 September, dengan batas tindakan 14 September bagi instansi sipil federal AS yang tercakup. Tenggat tersebut tidak otomatis berlaku untuk organisasi swasta, tetapi menunjukkan tingkat urgensi bagi setiap penerapan self-managed yang dapat dijangkau dari internet. 3

Apa dampak celah ini?

Celah berada pada Repository Commits API GitLab. Penyebab yang didokumentasikan adalah kombinasi pembatasan yang tidak memadai terhadap jalur (path) yang dikendalikan pengguna serta tidak adanya penerapan autentikasi. Dalam kondisi tersebut, permintaan tanpa autentikasi dapat dimanfaatkan untuk membaca file arbitrer yang bisa diakses oleh layanan GitLab. 3

Ini terutama merupakan celah pengungkapan file, bukan bukti bahwa CVE-2026-85706 saja memberikan eksekusi kode jarak jauh (remote code execution/RCE). Namun, pembacaan file arbitrer dapat membocorkan materi yang memudahkan kompromi lanjutan, tergantung konfigurasi server—misalnya pengaturan aplikasi, token, kunci SSH, kredensial basis data, dan rahasia lain yang dapat dibaca proses GitLab. 925

Mengapa eksploitasi aktif mengubah respons?

WatchTowr melaporkan telah mengamati probe di lapangan, termasuk lewat jaringan honeypot-nya pada 11 September. Entri CVE ini dalam KEV CISA juga merupakan sinyal penting karena katalog tersebut ditujukan untuk mengidentifikasi kerentanan yang memiliki bukti eksploitasi di dunia nyata. 222

Pelaporan publik mengonfirmasi aktivitas probing dan eksploitasi, tetapi tidak mengidentifikasi satu pelaku tertentu, tidak menyediakan jumlah korban yang andal, serta tidak membuktikan satu rantai pasca-eksploitasi yang selalu sama. Karena itu, jangan menganggap server yang terbuka aman hanya karena belum ada laporan insiden yang diketahui.

Perlakukan instance yang terekspos sebagai potensi insiden kebocoran rahasia

Patch menghentikan perilaku rentan, tetapi tidak dapat menarik kembali data yang mungkin sudah dibaca penyerang. Untuk server terdampak yang dapat diakses dari internet, amankan bukti terlebih dahulu dan evaluasi apa saja yang dapat diakses akun layanan GitLab sebelum melakukan pembersihan secara luas.

Prioritaskan peninjauan serta rotasi kredensial yang mungkin dapat dijangkau, termasuk:

• rahasia aplikasi dan konfigurasi GitLab;
• kredensial basis data, Redis, penyimpanan objek, registry, SMTP, layanan direktori, dan penyedia identitas yang tersimpan dalam konfigurasi;
• variabel CI/CD, deploy token, access token, runner token, deploy key, serta kredensial yang dipasang untuk job atau integrasi;
• kunci cloud, kredensial package registry, kunci penandatanganan, serta kunci privat SSH atau TLS yang dapat diakses host maupun proses GitLab.

Rotasi harus direncanakan dengan cermat. Mengubah rahasia aplikasi atau pengaturan terkait enkripsi dapat membatalkan sesi dan mengganggu pengaturan maupun integrasi terenkripsi. Simpan log dan bukti konfigurasi yang relevan lebih dulu, siapkan langkah pemulihan, lalu rotasi kredensial berisiko tertinggi secara bertahap dan terkontrol.

Deteksi: log yang perlu diperiksa

Indikator awal yang berguna adalah permintaan HTTP POST ke jalur Repository Commits API berikut:

/api/v4/projects/<id>/repository/commits/

Laporan secara khusus menyarankan pencarian permintaan yang memuat parameter file.path. Periksa log akses reverse proxy, load balancer, WAF, dan GitLab Rails untuk permintaan tanpa autentikasi yang tidak lazim, masukan terenkode yang menyerupai traversal, ID proyek tidak terduga, kegagalan berulang, pola enumerasi, atau ukuran respons yang abnormal. 212426

Selidiki pula aktivitas yang mungkin terkait setelah periode dugaan paparan, seperti token baru yang dibuat atau dipakai, pendaftaran runner, perubahan variabel CI/CD atau definisi pipeline, impor yang tidak lazim, aktivitas GraphQL, serta koneksi keluar yang tidak terduga. Panduan yang dilaporkan seputar rilis ini juga meminta peninjauan commit, subscription GraphQL, impor proyek, dan pipeline CI/CD. 23

Hasil pencarian log yang bersih bukan bukti konklusif bahwa tidak ada eksploitasi. Retensi log mungkin terbatas, pencatatan aplikasi bisa tidak merekam detail permintaan relevan, dan catatan reverse proxy atau WAF dapat menjadi satu-satunya bukti yang tersedia.

Kontrol sementara bila upgrade tertunda

Upgrade adalah remediasi yang diperlukan. Jika upgrade darurat belum dapat dilakukan, kurangi paparan dengan membatasi akses ke layanan web dan API GitLab hanya melalui VPN atau jaringan yang disetujui. Aturan reverse proxy atau WAF yang secara ketat membatasi rute Repository Commits API yang terdampak dapat memberi pengurangan risiko sementara, tetapi dapat merusak otomatisasi yang sah dan tidak boleh diperlakukan sebagai pengganti patch.

Urutan respons praktis untuk setiap server terdampak:

1. Identifikasi dan prioritaskan instance self-managed yang dapat dijangkau dari luar.
2. Upgrade ke 19.1.8, 19.2.6, 19.3.2, atau rilis yang lebih baru.
3. Verifikasi versi yang berjalan setelah perubahan.
4. Simpan dan tinjau log untuk indikator eksploitasi.
5. Rotasi rahasia yang berpotensi terekspos sesuai akses server dan dampak bisnisnya.

Kerentanan lain dalam rilis yang sama

Pelaporan keamanan yang sama juga menjelaskan dua isu Enterprise Edition yang diperbaiki dalam rilis tersebut:

• CVE-2026-87719 dilaporkan sebagai masalah deserialisasi tidak aman yang memerlukan autentikasi, dengan skor CVSS 9,9, serta dikaitkan dalam sejumlah laporan dengan kebocoran konfigurasi dan kredensial Advanced Search. 6
• CVE-2026-88765 dilaporkan sebagai risiko RCE yang memerlukan autentikasi melalui impor ekspor proyek Git yang telah dimodifikasi secara berbahaya, dengan skor CVSS yang dilaporkan sebesar 8,5. 625

Kedua celah tersebut memiliki prasyarat dan dampak yang berbeda dari CVE-2026-85706. Untuk instalasi GitLab self-managed yang terekspos, kerentanan pembacaan file tanpa autentikasi yang sedang dieksploitasi aktif ini tetap harus menjadi prioritas pertama untuk containment dan respons insiden.