Pada 21 Oktober 2026, GitLab merilis versi 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, dan 18.11.13 untuk GitLab Community Edition (CE) dan Enterprise Edition (EE). Versi-versi ini berisi perbaikan bug dan keamanan yang penting, dan GitLab sangat merekomendasikan agar semua instalasi GitLab yang dikelola sendiri (self-managed) segera ditingkatkan ke salah satu versi ini. GitLab.com sudah berjalan dengan versi yang telah ditambal. Penyewa GitLab Dedicated yang menjalankan 19.3.5-internal0 dan 19.4.2-internal0 atau yang lebih baru sudah menyertakan perbaikan ini dan tidak perlu mengambil tindakan apa pun.
GitLab merilis perbaikan kerentanan dalam rilis patch dalam dua jenis: rilis terjadwal, yang diterbitkan dua kali sebulan pada Rabu kedua dan keempat, serta patch kritis darurat untuk kerentanan dengan tingkat keparahan tinggi. Masalah keamanan dipublikasikan di issue tracker 90 hari setelah rilis tempat masalah tersebut ditambal. GitLab menyatakan berkomitmen pada standar keamanan tertinggi untuk semua aspek platform yang terekspos kepada pelanggan atau yang menyimpan data pelanggan.
Perbaikan yang paling serius menangani CVE-2026-110264, yaitu integer overflow pada compiler regular expression. Dalam kondisi tertentu, celah ini dapat memungkinkan pengguna yang belum terautentikasi menjalankan kode arbitrer di server GitLab. Celah ini memiliki skor CVSS 10.0 dan dilaporkan melalui program bug bounty HackerOne. Perbaikannya di-backport ke versi 18.11.13, 19.0.10, 19.1.9, dan 19.2.9.
Perbaikan lain, CVE-2026-15723, menangani masalah autentikasi yang tidak tepat. Ketika OmniAuth SAML dan penautan otomatis LDAP sama-sama diaktifkan, pengguna yang telah terautentikasi dapat mengambil alih akun LDAP yang sudah ada tanpa interaksi apa pun dari target, dengan skor CVSS 8.2. Versi yang terdampak mencakup rentang 10.1 hingga 19.5 sebelum rilis yang telah ditambal. GitLab juga merilis dua deteksi ancaman untuk instans self-managed guna membantu mengidentifikasi upaya eksploitasi. Infrastruktur yang dikelola GitLab, termasuk GitLab.com dan GitLab Dedicated, tetap sudah ditambal.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing