Telset.id – Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) resmi menambahkan kerentanan kritis GitLab CVE-2026-85706 ke dalam katalog Known Exploited Vulnerabilities (KEV). Langkah ini menandakan celah keamanan tersebut telah dieksploitasi secara aktif di alam liar, sehingga pengguna pemerintah dan organisasi diwajibkan segera melakukan pembaruan.
Kerentanan ini memiliki skor keparahan sempurna 10/10. CISA memberikan tenggat waktu sangat singkat, hanya tiga hari, bagi instansi pemerintah untuk menerapkan patch yang tersedia. Kebijakan percepatan ini sejalan dengan Aturan Patch 3 Hari yang sebelumnya diterbitkan CISA untuk mencegah eksploitasi berbasis kecerdasan buatan.
GitLab sendiri telah merilis pembaruan untuk Community Edition (CE) dan Enterprise Edition (EE) versi 19.3.2, 19.2.6, dan 19.1. Pembaruan tersebut memperbaiki sejumlah kerentanan, termasuk dua celah dengan tingkat keparahan kritis: path traversal pada repository commits API dan Insecure Deserialization pada GraphQL subscription serializer.
Detail Kerentanan dan Dampaknya
CVE-2026-85706 berasal dari lemahnya penegakan autentikasi dan pembatasan jalur (path confinement) yang tidak tepat pada repository commits API. Kondisi ini memungkinkan pelaku ancaman tanpa autentikasi untuk membaca berbagai informasi sensitif, termasuk kredensial login atau secret.
Dalam laporan terpisah, peneliti keamanan dari watchTowr mengungkapkan bahwa pihaknya telah mengamati adanya probe eksploitasi di alam liar untuk kerentanan path traversal kritis GitLab tersebut. “watchTowr Intel sudah mengamati probe in-the-wild untuk kerentanan Path Traversal kritis GitLab terbaru, CVE-2026-85706, yang memungkinkan penyerang membaca file arbitrer dalam satu permintaan HTTP,” ujar para peneliti.
Meskipun GitLab dalam advisory-nya tidak menyebutkan adanya penyalahgunaan celah tersebut di alam liar, laporan watchTowr sehari setelahnya mengonfirmasi hal sebaliknya. Berdasarkan pengalaman kerentanan GitLab sebelumnya, para peneliti menilai waktu hingga eksploitasi indiscriminate kemungkinan tidak lama lagi.
Para peneliti juga menyarankan para defender untuk memeriksa file log guna mencari permintaan HTTP POST ke URI ‘/api/v4/projects/{id}/repository/commits/’ yang mengandung parameter ‘file.path’ untuk mengidentifikasi potensi upaya eksploitasi.
Baca Juga:
Respons CISA dan Langkah Mitigasi
Penambahan CVE-2026-85706 ke katalog KEV oleh CISA sekaligus mengonfirmasi klaim watchTowr. Katalog KEV merupakan daftar kerentanan yang terbukti dieksploitasi secara aktif dan menjadi acuan bagi instansi pemerintah AS untuk melakukan remediasi dalam tenggat waktu yang ditetapkan.
Dengan tenggat tiga hari, pengguna pemerintah memiliki jendela waktu yang sangat sempit untuk menerapkan patch. Langkah ini mencerminkan peningkatan kewaspadaan otoritas terhadap Ancaman Ransomware dan serangan siber yang kian masif.
GitLab merupakan platform orkestrasi cerdas bagi para profesional DevSecOps yang membantu organisasi mengotomatiskan dan menyederhanakan siklus pengembangan perangkat lunak. Platform ini memiliki lebih dari 50 juta pengguna terdaftar, dan sekitar 50% di antaranya merupakan perusahaan Fortune 100, berdasarkan laporan SEC.
Skala pengguna yang besar ini menjadikan kerentanan CVE-2026-85706 sebagai ancaman serius bagi banyak organisasi. Pelaku ancaman dapat memanfaatkan celah ini untuk mengakses file arbitrer hanya dengan satu permintaan HTTP, tanpa memerlukan autentikasi.
Pengguna GitLab, baik CE maupun EE, disarankan segera melakukan pembaruan ke versi 19.3.2, 19.2.6, atau 19.1. Selain itu, pemantauan log untuk aktivitas mencurigakan pada endpoint commits API menjadi langkah deteksi dini yang penting untuk mencegah eksploitasi lebih lanjut.
Kasus ini menambah daftar panjang kerentanan yang dieksploitasi secara aktif, sejalan dengan laporan Infrastruktur Kritis AS yang juga menjadi target serangan siber. Organisasi diminta tidak menunda pembaruan mengingat sifat eksploitasi yang sudah terkonfirmasi di alam liar.
[ META_DESCRIPTION]
CISA masukkan GitLab CVE-2026-85706 ke katalog KEV usai eksploitasi aktif terdeteksi. Patch tersedia di versi 19.3.2, 19.2.6, dan 19.1.
Komentar
Belum ada komentar.