Tim pengembang bahasa pemrograman Ruby merilis pembaruan versi 4.0.9, 3.4.12, dan 3.3.13 untuk mengatasi tiga kerentanan teknis pada Onigmo, mesin regular expression bawaan bahasa tersebut. Masalah pustaka ini menjadi akar dari empat kelemahan kritis yang ditambal GitLab selama sebulan terakhir. Pola ekspresi reguler yang dirancang khusus dapat merusak memori sistem saat Ruby mengompilasinya, berpotensi membuka jalan bagi peretas mengeksekusi kode berbahaya secara jarak jauh di server. Ruby menegaskan insiden ini mengancam seluruh aplikasi berbasis Ruby yang menyusun pola ekspresi reguler dari masukan pihak luar.
Daftar Aplikasi yang Terdampak Celah Keamanan
Dalam laporan peringatan resminya, pengembang Ruby menerangkan bahwa aplikasi terancam apabila mengompilasi ekspresi reguler menggunakan string masukan yang dikendalikan penyerang. Skenario ini terjadi saat perangkat lunak memasukkan teks asing ke metode Regexp.new, Regexp.union, maupun Regexp.compile, atau menyisipkannya melalui interpolasi variabel seperti /#{input}/. Sebaliknya, program yang hanya mengeksekusi ekspresi reguler statis dipastikan aman.
Perbaikan menyeluruh hadir dalam rilis Ruby 4.0.9, 3.4.12, dan 3.3.13. Rilis 3.4.12 dan 3.3.13 menandai debut penambalan bagi cabang masing-masing. Adapun rilis 4.0.8 yang sempat diluncurkan belum mencakup tambalan tuntas untuk celah CVE-2026-110264, sehingga pengguna cabang 4.0 disarankan langsung memperbarui ke 4.0.9.
Pengguna Ruby 3.2 beserta edisi sebelumnya tidak memperoleh paket tambalan karena siklus hidup resmi Ruby 3.2 berakhir pada 1 April 2026 dengan rilis 3.2.11. Pengguna dianjurkan beralih ke varian 3.4 atau 4.0. Bagi yang belum dapat melakukan pembaruan, disarankan menghentikan perakitan ekspresi reguler dari data luar yang belum terverifikasi. Konfigurasi Regexp.timeout terbukti tidak sanggup memblokir rangkaian bug tersebut, dan pembatasan panjang karakter pola juga tidak reliabel karena rangkaian karakter pendek sekalipun sanggup memicu kerusakan.
Kronologi Kerentanan Merambah Platform GitLab
Sistem GitLab memproses dan mengompilasi ekspresi reguler yang diunggah pengguna, seperti konfigurasi pipeline CI/CD. Temuan kerusakan alokasi memori internal memicu GitLab mengeluarkan empat pengumuman CVE beruntun antara 23 September hingga 21 Oktober.
Dua celah pertama diumumkan 23 September, memerlukan akun aktif, dan diberi skor keparahan 9,9 dari 10. Dua kelemahan berikutnya pada bulan Oktober—CVE-2026-97229 pada 12 Oktober dan CVE-2026-110264 pada 21 Oktober—tidak mensyaratkan hak akses login dengan tingkat keparahan 10,0. Celah CVE-2026-110264 menjangkau hampir seluruh iterasi GitLab dari versi 7.0 ke atas. Peneliti joaxcar melaporkan keempat kelemahan melalui program bug bounty GitLab. Per 23 Oktober, belum satu pun kerentanan tersebut masuk katalog Known Exploited Vulnerabilities milik CISA.
Belum Ada Penomoran CVE Khusus dari Ruby
Ruby belum mengajukan penomoran CVE khusus atas perbaikan kode ini dan menyarankan pengguna memonitor masalah melalui empat CVE GitLab. Hal ini menyisakan celah bagi pemindai keamanan berbasis CVE, karena basis data GitLab hanya menetapkan produknya sebagai pihak terdampak, sehingga pemindai versi Ruby tidak mendeteksi ancaman.
Ruby sempat menetapkan nomor CVE untuk tambalan serupa pada 2022 dan 2024. Saat ini, dokumentasi Ruby masih mendeskripsikan risiko manipulasi pola asing sebatas gangguan denial-of-service. Tim Ruby berjanji memperbarui panduan resmi bila mengajukan CVE independen.
Langkah Penting Pengelola Sistem GitLab
Pengelola server GitLab mandiri diwajibkan segera memasang rilis perbaikan untuk kerentanan CVE-2026-110264 yang diedarkan 21 Oktober dengan dukungan backport hingga versi 18.11.13. Layanan GitLab.com sudah menjalankan varian aman, dan penyewa GitLab Dedicated pada rilis internal terkini tidak perlu melakukan tindakan apa pun. Karena GitLab menyertakan paket instalasi Ruby internal secara langsung, pembaruan versi otomatis menerapkan tambalan keamanan. GitLab juga mempublikasikan aturan deteksi untuk memantau indikasi upaya eksploitasi.
