Skor 9,9 dari 10: Celah Kritis di Gerbang AI GitLab, Pengguna Login Bisa Kuasai Server

GitLab menambal celah kritis CVE-2026-90970 pada komponen AI Gateway-nya dengan skor CVSS 9,9. Pengguna terautentikasi dengan akses Duo Agent Platform bisa lolos dari kotak pasir template dan menjalankan perintah sewenang-wenang di server gateway.

Ada jenis kerentanan yang membuat tim keamanan begadang, dan ada yang membuat mereka menelepon pelanggan satu per satu sebelum pengumumannya dipublikasikan. Celah yang ditambal GitLab pada 2 Oktober 2026 termasuk jenis kedua. Perusahaan itu menghubungi langsung pelanggan yang menjalankan AI Gateway secara mandiri sebelum merilis penasihat keamanannya — tanda betapa seriusnya masalah ini.

Celah tersebut, yang dilacak sebagai CVE-2026-90970, mendapat skor CVSS 9,9 dari 10 — nyaris sempurna. Artinya hampir semua faktor pemberat terpenuhi: mudah dieksploitasi, tidak butuh interaksi korban tambahan, dan dampaknya total terhadap kerahasiaan, integritas, dan ketersediaan sistem. GitLab merilis perbaikan dalam versi AI Gateway 19.2.4, 19.3.2, dan 19.4.1, dan mendesak semua pelanggan yang menjalankan gateway sendiri untuk memperbarui sesegera mungkin.

Dari Template Prompt ke Kendali Penuh Server

Akar masalahnya terdengar sepele: penanganan elemen khusus di mesin template yang tidak tepat, diklasifikasikan sebagai CWE-1336. AI Gateway memakai placeholder bergaya Jinja2 untuk memproses konfigurasi alur kustom di Duo Agent Platform. Karena masukan tidak dinetralkan dengan benar, penyerang bisa memanipulasi mesin template untuk melakukan sandbox escape — keluar dari konteks eksekusi yang dimaksudkan — lalu menjalankan perintah langsung di sistem operasi host gateway.

Yang membuat celah ini istimewa adalah lokasinya. Sejumlah laporan menyebutnya sebagai kerentanan eksekusi kode jarak jauh kritis pertama yang ditemukan pada komponen infrastruktur khusus AI. Gerbang AI adalah layanan penghubung antara instans GitLab dan model bahasa besar di balik fitur GitLab Duo; ia meneruskan prompt, potongan kode, dan kredensial model yang lewat di dalamnya. Pengambilalihan gateway berarti penyerang berpotensi mengintip semua data sensitif yang mengalir lewat jalur tersebut.

Satu-satunya syarat bagi penyerang adalah memiliki akun terautentikasi dengan akses Duo Agent Platform. Tidak perlu hak administrator, tidak perlu akses jaringan khusus — cukup menjadi pengguna yang sah dengan akses ke fitur tersebut, lalu mengirim konfigurasi alur yang dirancang khusus. Kesederhanaan prasyarat inilah yang mendorong skornya nyaris maksimal.

Siapa Wajib Bertindak, Siapa Bisa Tenang

Kabar baiknya, cakupan dampaknya terbatas. Kerentanan ini hanya menyerang organisasi yang menjalankan AI Gateway secara mandiri (self-hosted) — opsi yang GitLab sediakan bagi pelanggan yang ingin data permintaan dan respons AI tetap berada di lingkungan mereka sendiri. Pelanggan GitLab.com, GitLab Dedicated, dan instans yang memakai gateway milik GitLab sudah dilindungi dan tidak perlu melakukan apa pun.

Namun ada jebakan yang perlu diwaspadai administrator: AI Gateway adalah komponen dengan versi tersendiri, sehingga memutakhirkan GitLab inti tidak memperbaiki celah ini. Operator wajib memperbarui citra Gateway secara langsung ke salah satu versi tambalan. Versi yang terdampak mencakup rentang 18.1.6 hingga 19.2.3, 19.3.0 hingga 19.3.1, dan 19.4.0. Melewatkan detail ini berarti server tetap rentan meski GitLab-nya sudah versi terbaru.

Celah ini dilaporkan secara bertanggung jawab lewat HackerOne oleh peneliti dengan nama samaran invisiblemeerkat. Badan keamanan siber AS, CISA, mencatat status eksploitasi sebagai "none" per 2 Oktober 2026 — belum ada bukti eksploitasi di alam liar dan belum ada proof-of-concept publik. Tetapi absennya bukti bukan jaminan: celah skor 9,9 dengan prasyarat rendah adalah target empuk, dan hitungan mundur dimulai sejak penasihatnya dipublikasikan.

Deja Vu: Februari Lalu Juga 9,9

Yang mengkhawatirkan, ini bukan insiden pertama tahun ini. Pada Februari, GitLab menambal CVE-2026-1868 — juga skor 9,9, juga di komponen gateway yang sama, dan juga bisa dieksploitasi lewat definisi alur yang dirancang khusus. Kedua celah diklasifikasikan sebagai kelemahan mesin template di bawah CWE-1336, meski penasihat terbaru tidak merujuk pada pendahulunya.

Pola berulang ini memberi sinyal yang tidak nyaman: komponen AI yang memproses masukan pengguna tampaknya menjadi permukaan serangan baru yang belum matang pertahanannya. Ketika perusahaan berlomba menanamkan AI ke setiap produk, lapisan penghubung antara aplikasi dan model — gateway, orkestrator agen, mesin template prompt — justru menjadi titik terlemah. Insiden GitLab ini kemungkinan bukan yang terakhir; ia adalah peringatan dini bagi seluruh industri yang sedang membangun infrastruktur serupa.