GitLab menerbitkan critical patch release pada 21 Oktober 2026 untuk Community Edition (CE) dan Enterprise Edition (EE). Isu utama CVE-2026-110264 dinilai CVSS 10.0 dan, dalam kondisi tertentu, memungkinkan eksekusi kode di server oleh pihak tanpa login. GitLab menyarankan semua instalasi self-managed yang terdampak segera diperbarui. Ini tidak berarti semua server GitLab yang menjalankan versi lama sudah berhasil dieksploitasi. Pengumuman resmi GitLab

CVE-2026-110264: apa dampaknya?

GitLab menjelaskan adanya integer overflow saat kompilasi regular expression yang dibuat khusus. Dalam kondisi tertentu, celah ini dapat memungkinkan remote code execution tanpa autentikasi. GitLab tidak memaparkan semua prasyarat eksploit pada ringkasan publik. Skor CVSS-nya 10.0. Advisory resmi GitLab

Rentang yang disebut GitLab: 7.0 hingga sebelum 18.11.13, cabang 19.0 sebelum 19.0.10, 19.1 sebelum 19.1.9, 19.2 sebelum 19.2.9, 19.3 sebelum 19.3.6, 19.4 sebelum 19.4.3, dan 19.5 sebelum 19.5.1. Perbaikannya tersedia pada 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1 sesuai cabang. Cabang lama menerima backport khusus; untuk keamanan menyeluruh, ikuti versi terbaru yang masih didukung. GitLab: affected versions dan patch

GitLab menyediakan dua deteksi untuk membantu pemeriksaan upaya eksploitasi pada self-managed: Onigmo native worker crash dan Org mode render error burst. Deteksi dan log adalah petunjuk investigasi, bukan bukti tunggal bahwa server aman atau telah disusupi. GitLab: detecting exploitation attempts

Isu lain dan perbedaan cakupan patch

  • CVE-2026-15723 (CVSS 8.2): pengambilalihan akun LDAP oleh pengguna yang sudah login ketika OmniAuth SAML dan LDAP auto-linking sama-sama aktif. GitLab
  • CVE-2026-112212 (CVSS 7.5): manipulasi dokumen discovery OAuth/OIDC pada shared cache dalam kondisi tertentu, sehingga sebagian alur autentikasi dapat diarahkan ke server pihak lain. GitLab

Penting: rilis 18.11.13, 19.0.10, 19.1.9, dan 19.2.9 adalah backport untuk celah kritis; jangan menganggap seluruh isu keamanan lain pada advisory Oktober otomatis tertutup di cabang lama. Rilis 19.3.6, 19.4.3, dan 19.5.1 memuat perbaikan dalam rilis patch masing-masing. Pastikan target upgrade sesuai dukungan cabang dan seluruh daftar isu yang relevan. Catatan rilis resmi

Langkah pengelola GitLab

  1. Catat edisi, versi, dan cara instalasi instance self-managed. Bandingkan dengan rentang versi terdampak. GitLab.com sudah diperbarui menurut GitLab; GitLab Dedicated pada rilis internal tertentu juga sudah mencakup perbaikan ini. GitLab
  2. Backup dan rencanakan upgrade sesuai panduan resmi. GitLab mencantumkan migrasi database reguler pada 19.3.6 dan 19.4.3, serta migrasi post-deploy pada 19.4.3. Single-node dapat mengalami downtime selama upgrade; multi-node memerlukan prosedur zero-downtime yang benar. Catatan dampak upgrade
  3. Setelah upgrade, verifikasi versi aplikasi dan fungsi login, repository, serta pipeline. Tinjau deteksi yang dipublikasikan GitLab jika instance pernah terpapar.

Intinya: prioritaskan patch CVE-2026-110264 segera, lalu pastikan cabang yang dipilih juga menutup isu keamanan lain yang relevan.