Sekolapedia – 23 Oktober 2026 | Dunia keamanan siber baru saja dikejutkan dengan temuan kerentanan kritis pada platform manajemen kode gitlab yang memungkinkan penyerang melakukan eksekusi kode secara jarak jauh (Remote Code Execution/RCE). Celah keamanan dengan identitas CVE-2026-110264 ini mendapatkan skor kematangan tertinggi, yakni 10,0 pada skala CVSS 3.1, yang menandakan tingkat bahaya yang sangat ekstrem bagi pengguna di seluruh dunia.
Kerentanan ini sangat mengkhawatirkan karena memungkinkan pihak tidak bertanggung jawab untuk masuk ke dalam server tanpa memerlukan autentikasi atau kata sandi sama sekali. Jika berhasil dieksploitasi, penyerang dapat mengambil alih kendali penuh atas server yang menjalankan layanan tersebut. Masalah ini ditemukan pada mesin pemrosesan teks Onigmo yang digunakan oleh bahasa pemrograman Ruby di dalam ekosistem GitLab.
Penyebab Teknis: Bug yang Bertahan Lebih dari Satu Dekade
Secara teknis, masalah ini berakar pada terjadinya integer overflow (desbordemen bilangan bulat) saat sistem mencoba mengompilasi ekspresi reguler (regular expression) yang telah dimanipulasi secara khusus. Ketika sebuah pola ekspresi reguler memiliki jumlah pengulangan yang terlalu besar, penghitung internal pada mesin Onigmo akan meluap dan merusak manajemen memori sistem.
Salah satu vektor serangan yang diidentifikasi oleh para ahli berkaitan dengan pemrosesan file yang menggunakan ekstensi .org. Hal ini menunjukkan bahwa penyerang dapat memicu kesalahan memori hanya dengan mengunggah atau memproses file tertentu yang dirancang untuk merusak logika kompilasi teks.
Daftar Versi yang Terdampak dan Solusi Pembaruan
Hal yang membuat temuan ini sangat luar biasa adalah cakupan kerentanannya yang sangat luas. Bug ini telah ada sejak versi 7.0 yang dirilis pada tahun 2014, yang berarti infrastruktur lama yang belum diperbarui selama bertahun-tahun berada dalam risiko besar. Berikut adalah rincian versi yang memerlukan perhatian segera:
| Status Versi | Detail Versi |
|---|---|
| Sangat Rentan | Semua versi dari 7.0 hingga 18.11.13 (kecuali versi patch) dan cabang 19.0–19.5 sebelum patch Oktober. |
| Sudah Diperbaiki (Patch) | 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, dan 19.5.1. |
Bagi pengguna yang mengelola instalasi mandiri (self-hosted), sangat disarankan untuk segera melakukan migrasi atau pembaruan ke versi yang telah dipatch. Perlu dicatat bahwa pembaruan ke versi 19.4.3 atau 19.3.6 melibatkan migrasi basis data, yang mungkin menyebabkan waktu henti (downtime) singkat pada sistem satu server.
Langkah Mitigasi dan Keamanan Tambahan
Meskipun GitLab.com dan pengguna GitLab Dedicated telah mengamankan sistem mereka, para administrator server mandiri harus bertindak cepat. Jika pembaruan instan tidak memungkinkan, langkah-langkah sementara berikut dapat diambil:
- Membatasi akses jaringan ke server secara ketat untuk mengurangi kemungkinan kontak dari pihak luar.
- Melakukan audit rutin pada log sistem untuk mencari kegagalan Ruby yang tidak biasa.
- Memantau adanya kesalahan pemrosesan file dengan ekstensi .org secara intensif.
Penting untuk dipahami bahwa kerentanan ini berbeda dengan CVE-2026-97229 yang juga ditemukan beberapa hari sebelumnya. Meskipun keduanya berkaitan dengan pemrosesan ekspresi reguler, keduanya adalah celah yang berbeda dan memerlukan patch yang berbeda pula. Jangan berasumsi bahwa patch dari awal Oktober sudah mencakup perbaikan untuk CVE-2026-110264.
Hingga laporan terakhir pada 22 Oktober, belum ditemukan bukti adanya eksploitasi aktif atau serangan nyata di lapangan terhadap celah ini. Namun, mengingat tingkat keparahannya, kewaspadaan tinggi tetap menjadi prioritas utama bagi seluruh pengelola infrastruktur IT di seluruh dunia agar tidak menjadi korban serangan siber berikutnya.
Sebagai kesimpulan, ancaman ini merupakan pengingat keras bagi organisasi mengenai pentingnya manajemen patch yang disiplin. Mengingat bug ini sudah ada sejak tahun 2014, pengabaian terhadap pembaruan versi perangkat lunak dapat memberikan pintu masuk yang sangat mudah bagi peretas untuk melumpuhkan seluruh infrastruktur perusahaan.