Celah Kritis GitLab CVSS 10.0: RCE Tanpa Autentikasi via CI/CD

GitLab merilis tambalan keamanan untuk celah kritis berkode CVE-2026-97229 dengan skor CVSS sempurna 10.0. Celah integer overflow ini memungkinkan penyerang tanpa autentikasi menjalankan kode berbahaya dari jarak jauh (remote code execution/RCE) hanya dengan memanipulasi ekspresi reguler dalam konfigurasi pipeline CI/CD, menurut laporan The Cyber Mind Cybersecurity Weekly Brief edisi 1 November 2026.

Celah ini berdampak pada GitLab Community Edition dan Enterprise Edition yang di-hosting secara mandiri (self-hosted) dengan pipeline CI/CD yang aktif. Artinya, tim development dan DevOps engineer yang menjalankan GitLab Server sendiri — bukan GitLab.com — menjadi kelompok yang paling berisiko jika belum menambal.

Tingkat keparahannya membuat celah ini masuk dalam katalog Known Exploited Vulnerabilities (KEV) milik CISA, badan keamanan siber Amerika Serikat. Masuknya sebuah CVE ke daftar KEV berarti celah tersebut dinilai aktif dieksploitasi di dunia nyata dan instansi federal AS diwajibkan menambalnya dalam tenggat waktu tertentu.

Bagi praktisi DevOps, insiden ini menegaskan kembali pentingnya DevSecOps — menempatkan keamanan sebagai bagian integral dari pipeline, bukan sekadar tahap akhir. Pipeline CI/CD yang menjalankan kode dari banyak kontributor adalah permukaan serangan yang luas; satu celah pada parser konfigurasi saja cukup untuk memberi penyerang kendali penuh atas runner dan infrastruktur build.

Administrator GitLab yang mengelola instalasi self-hosted disarankan segera memperbarui ke versi tambalan terbaru dan memeriksa log pipeline terhadap pola ekspresi reguler yang mencurigakan. Praktik terbaik yang disarankan mencakup pembatasan akses jaringan ke antarmuka GitLab, audit rutin terhadap file konfigurasi .gitlab-ci.yml, serta pemisahan hak akses runner berdasarkan tingkat kepercayaan.