Ruby secara resmi meluncurkan pembaruan versi 4.0.9, 3.4.12, serta 3.3.13 guna mengatasi tiga kutu pemformatan pada Onigmo, modul pemrosesan regular expression bawaan bahasa tersebut. Masalah sistemik ini merupakan faktor utama di balik empat kerentanan keamanan berisiko tinggi yang ditambal oleh tim pengembang GitLab sepanjang sebulan terakhir.
Pihak GitLab menemukan pola khusus manipulasi masukan yang sanggup merusak alokasi memori ketika Ruby menyusun ekspresi reguler. Kondisi berbahaya ini berpeluang membuka celah eksekusi kode berbahaya secara jarak jauh langsung pada server mereka.
Tim pemelihara Ruby mengingatkan bahwa risiko kerentanan tersebut tidak hanya mengancam ekosistem GitLab, melainkan berlaku pada seluruh aplikasi berbasis Ruby yang menyusun pola ekspresi dari data yang dikendalikan oleh pihak luar.
Kategori Aplikasi yang Terdampak Kerentanan
Berdasarkan laporan peringatan resminya, Ruby menegaskan perangkat lunak berpotensi terdampak jika mengompilasi regular expression menggunakan teks yang dikuasai penyerang. Hal ini umumnya muncul ketika aplikasi meneruskan data tak tepercaya ke metode Regexp.new, Regexp.union, maupun Regexp.compile, termasuk penempatan input ke dalam format pola langsung melalui interpolasi seperti skema /#{input}/.
Aplikasi yang secara eksklusif hanya menjalankan susunan pola regular expression buatan tim pemrogram internal mereka dinyatakan berada di posisi aman dari ancaman ini.
Penanganan terhadap galat ini resmi dihadirkan pada versi 4.0.9, 3.4.12, dan 3.3.13. Khusus varian 3.4.12 serta 3.3.13, pembaruan ini menandai integrasi pertama dari perbaikan ketiga kerentanan tersebut dalam rantai rilis masing-masing.
Edisi sebelumnya yang dirilis pada pekan yang sama, yakni varian 4.0.8, terpantau belum mencakup penambalan celah bernomor CVE-2026-110264. Oleh sebab itu, para pemakai cabang 4.0 sangat disarankan langsung memperbarui instalasi ke 4.0.9.
Pengguna Ruby 3.2 beserta varian pendahulunya dipastikan tidak memperoleh pembaharuan keamanan. Lini Ruby 3.2 telah resmi memasuki masa akhir dukungan teknis pada 1 April 2026, ditandai penerbitan versi 3.2.11 sebagai penutup. Komunitas Ruby merekomendasikan migrasi sistem ke versi 3.4 atau 4.0.
Bagi pengelola infrastruktur yang belum memungkinkan pembaruan, tim menyarankan penghentian proses kompilasi ekspresi reguler dari masukan eksternal yang meragukan.
Dua metode mitigasi populer terbukti tidak efektif mencegah serangan ini. Mengaktifkan opsi Regexp.timeout tidak dapat menahan kegagalan fungsi, dan menetapkan batas panjang pola karakter tetap tidak dapat diandalkan karena pola singkat sekalipun mampu memicu anomali memori.
Awal Mula Masalah Menembus Sistem GitLab
Platform GitLab secara rutin memproses sintaks regular expression yang dikirimkan pemakai, seperti pengaturan konfigurasi pipeline CI/CD. Pengelola menemukan string manipulatif mampu merusak susunan memori saat proses kompilasi bahasa Ruby berjalan, sehingga GitLab merilis empat nomor CVE rentang 23 September hingga 21 Oktober dengan menghadirkan bundel versi Ruby yang telah ditambal.
Sepasang celah awal yang dilaporkan tanggal 23 September memerlukan hak akses pengguna terdaftar dan masing-masing menerima skor keparahan 9,9 dari 10. Dua celah berikutnya diumumkan pada Oktober, yakni CVE-2026-97229 pada tanggal 12 dan CVE-2026-110264 pada tanggal 21, yang keduanya tidak menuntut kepemilikan akun serta mengantongi skor tertinggi 10,0. Varian CVE-2026-110264 tercatat berdampak luas sejak GitLab versi 7.0 hingga generasi terbaru.
Peneliti keamanan bernama samaran joaxcar mengidentifikasi sekaligus melaporkan keempat kelemahan sistem tersebut lewat program sayembara temuan bug milik GitLab. Mengacu pada pantauan per 23 Oktober, belum satu pun dari temuan tersebut terdaftar dalam katalog Known Exploited Vulnerabilities milik CISA.
Status Belum Adanya Kode CVE Khusus Ruby
Pihak pengelola Ruby hingga kini belum mengajukan penomoran CVE tersendiri atas pembaruan Onigmo ini, “setidaknya untuk saat ini,” sembari mengarahkan para praktisi untuk mengacu pada empat nomor pengenal CVE kepunyaan GitLab.
Situasi tersebut menciptakan tantangan deteksi bagi pihak yang memantau keamanan berbasis identifikasi CVE. Pangkalan data GitLab hanya mendaftarkan produk internalnya, sehingga sistem pemindai keamanan otomatis tidak akan menemukan kecocokan kerentanan pada kompilasi perangkat lunak Ruby murni.
Sebelumnya, Ruby pernah mengkategorikan permasalahan serupa sebagai isu kerentanan formal dengan menetapkan nomor CVE pada kasus tahun 2022 dan 2024, kendati praktik perakitan ekspresi reguler dari masukan luar pada dasarnya memang berisiko tinggi.
Pedoman resmi bahasa pemrograman ini sampai sekarang masih melabeli masukan pola asing sebatas potensi serangan penolakan layanan (DoS). Ruby memastikan bakal memperbarui informasi jika kelak memproses penerbitan nomor CVE.
Panduan Teknis untuk Administrator GitLab
Pengelola instalasi mandiri GitLab (self-managed) wajib menerapkan versi pembaruan yang membendung dampak CVE-2026-110264. GitLab meluncurkan patch tersebut sejak 21 Oktober dan menerapkannya mundur hingga versi 18.11.13.
Pengguna layanan cloud GitLab.com telah terlindungi pembaruan, sementara pelanggan GitLab Dedicated yang memakai rilis internal terbaru tidak membutuhkan konfigurasi tambahan. Karena GitLab menyertakan distribusi runtime Ruby terintegrasi yang telah ditambal, memasang versi aplikasi terkini akan langsung mengatasi celah tersebut.
GitLab juga menyediakan seperangkat aturan deteksi tambahan yang dapat diaplikasikan tim administrator server mandiri untuk memantau tanda-tanda upaya eksploitasi di lingkungan masing-masing.
