Platform DevOps terkemuka GitLab baru saja merilis pembaruan keamanan darurat (out-of-band security update) guna mengatasi celah keamanan berisiko sangat tinggi yang memengaruhi versi Community Edition (CE) dan Enterprise Edition (EE).
Ringkasan Kerentanan
Celah keamanan yang diidentifikasi dengan kode CVE-2026-19478 ini memiliki skor keparahan CVSS 9.4 (Kritis). Kerentanan ini berakar pada implementasi GraphQL directive yang memungkinkan peretas tanpa kredensial (unauthenticated) untuk mengirimkan payload berbahaya melalui jaringan dan secara langsung memanipulasi hingga menghapus proyek publik serta data pengguna tanpa memerlukan interaksi korban sama sekali.
🚨 Poin Penting Security Advisory:
- CVE ID: CVE-2026-19478 (CVSS 9.4 - Critical)
- Vektor Serangan: Remote, Tanpa Otentikasi (Unauthenticated)
- Dampak: Modifikasi dan penghapusan repositori publik & data user secara remote
- Status Cloud: GitLab.com dan GitLab Dedicated telah diamankan secara otomatis
Versi yang Terdampak
Bagi instansi pemerintah dan enterprise yang menjalankan instalasi Self-Managed GitLab, versi berikut rentan terhadap eksploitasi:
- Semua versi dari 18.2 sebelum 18.11.11
- Versi 19.0 sebelum 19.0.8
- Versi 19.1 sebelum 19.1.6
- Versi 19.2 sebelum 19.2.4
Celah Tambahan: CVE-2026-19650 (CSRF)
Selain CVE-2026-19478, rilis patch ini juga menambal celah CVE-2026-19650 (CVSS 7.1 - High). Kerentanan ini terkait dengan kelemahan Cross-Site Request Forgery (CSRF) pada penanganan query multiplex GraphQL yang berpotensi memungkinkan mutasi data dieksekusi melalui permintaan GET yang tidak divalidasi dengan benar.
Rekomendasi Tindakan dari Tim IRZA SOLUSI
Mengingat GitLab sering menjadi repositori kode sumber dan pipeline CI/CD kritikal organisasi, tim keamanan siber IRZA SOLUSI menyarankan langkah mitigasi prioritas berikut:
- Segera Lakukan Upgrade: Perbarui instance GitLab lokal / on-premise ke versi 19.2.4, 19.1.6, 19.0.8, atau 18.11.11.
- Review Akses Repositori Publik: Audit proyek-proyek dengan visibilitas publik untuk memastikan integritas branch dan commit history.
- Implementasikan Web Application Firewall (WAF): Batasi dan pantau pola query GraphQL anomali pada perimeter gateway aplikasi Anda.