GitLab Tambal Celah Kritis AI Gateway Bernilai CVSS 9,9, Pengguna Self-Hosted Diminta Segera Update

Fitur yang dibuat supaya agen AI bisa menjalankan alur kerja otomatis ternyata juga membuka jalan bagi penyerang untuk menjalankan perintah apa pun di server. Celahnya cukup dipicu dengan satu konfigurasi yang dirancang khusus.

GitLab merilis tambalan untuk kerentanan kritis di GitLab AI Gateway pada Jumat (2/10/2026). Celah dengan kode CVE-2026-90970 ini mendapat skor CVSS 9,9 dari maksimal 10. Penyerang yang sudah masuk ke sistem bisa memanfaatkannya untuk menjalankan perintah sembarang (arbitrary command execution) di server gateway. Yang terdampak hanya instalasi self-hosted, sedangkan GitLab.com, GitLab Dedicated, dan instans yang dikelola GitLab aman.

Kabur dari Sandbox Lewat Template Prompt

Sumber masalahnya ada di template prompt pada fitur custom flow. Pengguna yang sudah login dan punya akses ke Duo Agent Platform, layanan agen AI milik GitLab, bisa keluar dari sandbox template prompt dengan membuat konfigurasi flow yang dirancang khusus. Setelah lolos dari sandbox, perintah apa pun bisa dieksekusi langsung di AI Gateway.

Dampaknya bisa melebar ke luar gateway. Menurut Security Affairs, penyerang berpotensi mengakses material autentikasi yang sensitif, termasuk kunci untuk menandatangani dan memvalidasi token JWT.

Syaratnya memang tidak ringan. Penyerang harus punya akun yang sah, akses ke Duo Agent Platform, dan izin membuat konfigurasi flow sendiri. Artinya, ancaman terbesar datang dari orang dalam atau dari akun yang sudah lebih dulu dibobol.

Versi Terdampak dan Versi Aman

Celah ini ada di AI Gateway versi 18.1.6 hingga sebelum 19.2.4, versi 19.3 sebelum 19.3.2, dan versi 19.4 sebelum 19.4.1. Perbaikannya tersedia di versi 19.2.4, 19.3.2, dan 19.4.1.

GitLab meminta pelanggan self-managed untuk segera memperbarui dan menyebut tidak ada solusi sementara selain update. Caranya: hentikan container, tarik image dengan tag versi baru, atau perbarui pengaturan image di Helm chart bagi yang memakai Kubernetes. GitLab juga menghubungi langsung pelanggan self-hosted yang terdampak.

Belum Dieksploitasi, tapi Bukan yang Pertama

Celah ini ditemukan oleh peneliti dengan nama pengguna invisiblemeerkat lewat program bug bounty GitLab di HackerOne. Per 2 Oktober 2026, Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) menilai belum ada eksploitasi di dunia nyata, dan belum ada proof-of-concept yang dipublikasikan.

Ini juga bukan pertama kalinya AI Gateway bermasalah tahun ini. Pada Februari 2026, GitLab menambal CVE-2026-1868, celah lain dengan skor CVSS yang sama, 9,9, dan jenis kelemahan yang serupa, yaitu injeksi pada mesin template (CWE-1336).

Dua celah kritis dengan pola yang sama dalam delapan bulan memunculkan pertanyaan yang belum dijawab GitLab: apakah desain template prompt di AI Gateway perlu dirombak, bukan sekadar ditambal setiap kali celah baru ditemukan.