Eksploitasi Aktif Celah Kritis GitLab (CVSS 9.4) Terdeteksi di Alam Liar
Firma manajemen paparan ancaman siber, watchTowr, memperingatkan bahwa kerentanan kritis yang baru saja diumumkan pada platform GitLab kini telah menjadi target eksploitasi aktif di dunia nyata (in-the-wild exploitation) hanya beberapa hari setelah rilis resmi.
Kerentanan yang terdaftar dengan kode CVE-2026-19478 dan memiliki skor keparahan CVSS 9.4 ini merupakan celah injeksi kode (code injection). Kerentanan ini memungkinkan penyerang tanpa otentikasi (unauthenticated attacker) untuk memodifikasi, menghapus proyek publik GitLab, serta menulis ulang data di dalamnya tanpa memerlukan kredensial akun, interaksi korban, maupun konfigurasi sistem yang rumit.
Tim peneliti watchTowr menyatakan berhasil merekonstruksi eksploitasi dalam hitungan menit setelah pengumuman, dan segera mengamati gelombang serangan nyata yang menyasar jaringan honeypot mereka di internet.
Versi GitLab yang Terdampak
Celah keamanan ini memengaruhi instalasi mandiri (self-hosted) dari GitLab Community Edition (CE) dan Enterprise Edition (EE) pada lini versi berikut:
- Versi 18.2 sebelum 18.11.11
- Versi 19.0 sebelum 19.0.8
- Versi 19.1 sebelum 19.1.6
- Versi 19.2 sebelum 19.2.4
GitLab telah merilis patch perbaikan darurat dan mendesak seluruh pengelola server untuk segera melakukan pembaruan ke versi 19.2.4, 19.1.6, 19.0.8, atau 18.11.11.
Dampak Nyata: Dari Penghapusan Repositori hingga Pemalsuan Merge Request
Eksploitasi bermula dari penanganan direktif GraphQL yang cacat pada endpoint API GitLab. Investigasi mendalam watchTowr mengungkap bahwa dampak serangan tidak hanya terbatas pada manipulasi data proyek biasa, melainkan mencakup ancaman rantai pasok (supply-chain risk) yang serius:
- Penghapusan Repositori Penuh: Penyerang dapat menghapus seluruh repositori publik beserta riwayat commit di dalamnya.
- Pemalsuan Catatan Merge (Forge Merge Records): Pelaku dapat merekayasa log penggabungan kode sehingga tampak seolah-olah sebuah perbaikan bug/fitur telah disetujui dan digabungkan oleh tim pengembang sah, padahal tidak pernah terjadi.
- Pencabutan Akses Maintainer: Penyerang dapat mengambil alih kontrol administratif proyek dan memblokir (ban) maintainer resmi.
Fenomena Senjata Eksploitasi Bersenjata AI
Jake Knott, Principal Security Researcher di watchTowr, menyoroti realitas baru lanskap ancaman modern di mana peretas bersenjatakan kecerdasan buatan (AI) mampu mengompresi siklus dari publikasi celah hingga senjata serangan fungsional menjadi sangat singkat.
"Menunggu siklus patch rutin berikutnya sering kali sudah terlambat ketika berhadapan dengan kerentanan berisiko tinggi seperti ini," tegas Knott.
Indikator Kompromi (IoC) & Perburuan Ancaman
Bagi tim SecOps dan administrator yang mengelola instance GitLab publik dan belum sempat melakukan upgrade, sangat disarankan untuk melakukan audit log segera:
- Pencarian String Direktif: Periksa log akses web server (Nginx/Reverse Proxy) terhadap permintaan HTTP yang memuat string
@gl_introducedpada payload request. - Monitoring Endpoint GraphQL: Amati anomali lalu lintas request menuju
/api/graphqlyang berasal dari IP address mencurigakan atau tanpa header sesi yang wajar. - Audit Riwayat Merge Request: Lakukan peninjauan manual terhadap aktivitas commit, merge, dan perubahan izin user pada proyek publik selama 7–14 hari terakhir.
Panduan Mitigasi Darurat
Langkah-langkah proteksi yang direkomendasikan untuk mencegah eksploitasi:
- Prioritaskan Upgrade Versi Resmi: Tingkatkan instance GitLab CE/EE ke versi patch terbaru (19.2.4, 19.1.6, 19.0.8, atau 18.11.11).
- Batasi Akses Endpoint GraphQL (Workaround): Jika upgrade belum memungkinkan dilakukan seketika, terapkan aturan pada WAF atau reverse proxy untuk memblokir akses publik tanpa otentikasi ke jalur
/api/graphql. - Ubah Visibilitas Repositori: Ubah pengaturan repositori publik menjadi privat untuk sementara waktu guna meniadakan vektor serangan dari pihak luar.
Sumber Informasi
Artikel ini disusun berdasarkan buletin keamanan resmi GitLab, laporan ancaman dari watchTowr, serta publikasi The Hacker News.
🔗 Sumber asli: The Hacker News — GitLab CVE-2026-19478 Comes Under Active Exploitation Within Days of Disclosure