GitLab mengeluarkan patch darurat untuk dua celah kritis di platform Community Edition dan Enterprise Edition pada 12 September 2026. Celah utama, CVE-2026-85706 dengan skor CVSS 10,0, adalah path traversal tanpa autentikasi di antarmuka commit repositori yang disebabkan oleh pembatasan path yang tidak tepat dan pemeriksaan autentikasi yang hilang, sehingga penyerang bisa membaca file sembarang dari server hanya lewat satu permintaan HTTP. Versi yang terdampak meliputi semua rilis 18,7 sebelum 19,1,8, 19,2 sebelum 19,2,6, dan 19,3 sebelum 19,3,2.
WatchTowr Labs mengamati pemindaian internet hampir seketika setelah pengungkapan, dan CISA menambahkan CVE tersebut ke katalog Known Exploited Vulnerabilities pada 11 September 2026, mengonfirmasi eksploitasi aktif. Celah kedua, CVE-2026-87719 dengan skor CVSS 9,9, hanya memengaruhi Enterprise Edition dengan akses Duo Chat dan dapat mengekspos kredensial Advanced Search. Layanan GitLab.com yang di-hosting sudah menjalankan kode yang diperbaiki, tetapi instance self-managed yang terpapar internet menghadapi risiko tertinggi dan disarankan segera memperbarui.
Sumber: Cyber Recaps
