Duo Claude Agent milik GitLab Dapat Menjalankan Perintah Arbitrer di CI. Tidak Ada yang Menunjukkan Bahwa Itu Pernah Digunakan.

GitLab merilis versi perbaikan pada 26 Agustus 2026 untuk celah berkeparahan tinggi di agen AI Duo Claude, agen berbasis Claude yang oleh advisory GitLab ditempatkan dalam konteks CI. Dilacak sebagai CVE-2026-18252, bug tersebut memungkinkan pengguna terautentikasi yang memegang peran Developer membuat perintah arbitrer dieksekusi di dalam job CI, karena agen memproses konfigurasi dari sumber yang dikendalikan pengguna tanpa memvalidasi asal-usulnya. GitLab memberi peringkat 7,3 pada skala CVSS 3.1 dan membatasi rentang terdampak pada GitLab Enterprise Edition: versi 18.9 hingga sebelum 19.1.7, 19.2 hingga 19.2.5, dan 19.3 hingga 19.3.1. GitLab.com sudah menjalankan kode yang telah ditambal, dan pelanggan GitLab Dedicated diminta tidak melakukan tindakan apa pun. Tidak ada sumber yang ditinjau untuk artikel ini yang melaporkan bahwa siapa pun mengeksploitasinya, dan belum ada proof of concept yang dipublikasikan di sumber terbuka. Entri arsip itu sendiri untuk insiden ini, dengan tingkat keparahan dan keyakinannya, terdapat di Orca AI Incident Archive, bersama catatan-catatan tetangga dari minggu yang sama.

Apa yang dikatakan imbauan tersebut, dan apa yang tidak disertakan.

Dokumen utamanya singkat. Catatan rilis patch GitLab untuk 19.3.1, 19.2.5, dan 19.1.7, yang diterbitkan pada hari yang sama, mencantumkan tujuh perbaikan keamanan. Yang pertama, ditandai Tinggi, berjudul “Masalah Penyertaan Fungsionalitas dari Lingkup Kontrol Tidak Tepercaya pada Duo Claude AI agent berdampak pada GitLab EE”, dan deskripsi prosanya hanya satu kalimat. GitLab mengatakan pihaknya “telah memperbaiki masalah yang, dalam kondisi tertentu, memungkinkan pengguna terautentikasi dengan izin peran developer mengeksekusi perintah arbitrer dalam konteks CI, karena agen Claude memproses konfigurasi dari sumber yang dikendalikan pengguna.” Itulah keseluruhan deskripsi teknis yang diterbitkan vendor.

Catatan CVE, yang ditetapkan GitLab sendiri, lebih menambahkan struktur ketimbang substansi. Catatan itu mengklasifikasikan kelemahan sebagai CWE-829, mengulang rentang yang terdampak dan skor CVSS 7.3, serta mencatat bahwa pengenal tersebut dicadangkan pada 29 Juli 2026 dan diterbitkan pada 26 Agustus pukul 13.36 UTC. Laporan bug-bounty yang diberi kredit oleh GitLab, HackerOne report 3863650, mengembalikan 403 terhadap pengambilan tanpa autentikasi pada 29 Oktober 2026, sehingga detail teknisnya tidak publik, dan item pelacak yang ditautkan catatan CVE sebagai referensinya — gitlab-org/gitlab work item 607342 — tidak memuat konten isu yang dapat dibaca pada pemeriksaan tersebut.

Apa yang tidak diungkapkan oleh advisory itu justru bagian yang ingin diketahui seorang defender. Dokumen tersebut tidak menyebutkan fitur Duo yang terlibat, bidang konfigurasi yang dibaca agen, atau bentuk sumber yang dikendalikan pengguna — apakah berupa berkas repositori, variabel pipeline, komentar issue atau merge request, atau parameter API. Tidak satu pun dari hal tersebut dinyatakan dalam catatan GitLab, catatan CVE, maupun liputan pers industri yang ditinjau untuk artikel ini. Dokumentasi produk GitLab memang menjelaskan satu jalur Claude ke CI: agen eksternal, yang menurut dokumentasi akan menjalankan pipeline CI/CD saat disebut dalam issue, epic, atau merge request, dan untuk itu tersedia contoh konfigurasi Claude Code. Tidak ada yang ditinjau yang mengaitkan jalur tersebut dengan CVE-2026-18252. Itu adalah konteks yang menjelaskan mengapa agen Claude memiliki hak istimewa CI, bukan mekanisme bug tersebut.

Dokumentasi yang sama juga terbuka mengenai kelas risiko. Halaman agen eksternal GitLab mencantumkan kerentanan injeksi prompt di antara risiko yang diterima pelanggan dengan mengaktifkan fitur tersebut, dan menjelaskan pemindaian prompt pihak ketiga yang diterapkannya sebagai mitigasi. Halaman itu tidak menyebut CVE-2026-18252, dan peringatan tersebut bukan deskripsi tentangnya. Namun, hal itu menunjukkan bahwa input tak tepercaya yang mencapai agen dengan akses pipeline adalah risiko yang sudah diminta dokumentasi GitLab sendiri agar diterima pelanggan.

Konteks CI adalah tempat kredensial berada.

Frasa yang membawa tingkat keparahan adalah "dalam konteks CI". Pekerjaan pipeline bukan sandbox mainan; ia berjalan dengan token runner dan rahasia apa pun yang telah diekspos proyek kepadanya. Cyber Security News, yang melaporkan patch tersebut pada 27 Agustus 2026, mencantumkan apa yang biasanya dapat dijangkau oleh pekerjaan semacam itu — kode sumber, artefak build, kredensial deployment, token cloud, dan kredensial repositori paket — serta mencatat bahwa eksekusi perintah dalam pipeline dapat mengekspos variabel CI, mengubah artefak build, merusak alur kerja rilis, atau menjangkau lebih jauh ke infrastruktur yang terhubung, bergantung pada konfigurasi runner dan cakupan token. Tulisan GBHackers pada hari yang sama menggunakan kerangka yang sama. Tidak satu pun dari kedua media tersebut melaporkan kasus ketika hal itu terjadi.

Distingsi itu membentuk cara cacat tersebut harus dibaca. Ini adalah bug eksekusi perintah pada komponen agentik, bukan demonstrasi model yang berperilaku buruk: catatan tersebut menjelaskan konfigurasi yang diambil dari sumber yang dikendalikan pengguna dan agen bertindak berdasarkan konfigurasi itu. Tidak ada sumber yang ditinjau yang menggambarkan eksploitasi tersebut sebagai injeksi prompt yang berhasil, dan saran GitLab tidak pernah mengaitkan hasil tersebut dengan penilaian model. Kelemahan yang tercatat adalah kode yang memercayai sumber konfigurasi yang seharusnya tidak dipercayai — CWE-829, penyertaan fungsionalitas dari lingkup kendali yang tidak tepercaya.

Dua skor CVSS dan satu langkah interaksi

Nilai 7,3 dari GitLab bukan satu-satunya skor yang dilekatkan pada pengenal tersebut. Dalam catatan NVD yang sama, penilaian utama NIST adalah 8,1. Kedua vektor identik kecuali pada satu komponen: GitLab menandai interaksi pengguna sebagai wajib, sedangkan NIST tidak. Kedua skor berada dalam kategori High, sehingga perbedaan praktisnya bukan tanto tentang tingkat keparahan melainkan tentang kondisi saat bug terpicu. CERT Santé, tim tanggap darurat komputer Kementerian Kesehatan Prancis, menerbitkan peringatan pada 27 Agustus 2026 yang mengikuti pembacaan GitLab — 7,3, interaksi pengguna wajib, dan pemicu yang dijelaskan sebagai interaksi yang memicu pemrosesan konfigurasi.

Sinyal-sinyal eksploitasi tenang, dan setiap sinyal itu merupakan pembacaan atas catatan, bukan telemetri. Penilaian SSVC yang disimpan oleh peran koordinator CISA dalam entri NVD pada 26 Agustus 2026 mencatat eksploitasi sebagai "none", dapat diotomatisasi sebagai "no", dan dampak teknis sebagai "total". Model EPSS milik FIRST menetapkan probabilitas eksploitasi sebesar 0,00519, sedikit di atas setengah persen, pada 28 Oktober 2026, dalam persentil ke-44 kerentanan yang dinilai. Catatan OpenCVE memuat angka EPSS yang sama dan mencantumkan CVE tersebut sebagai tidak ada dalam katalog Known Exploited Vulnerabilities milik CISA. Peringatan CERT Santé mencatat "actively exploited: no", dan menambahkan bahwa tidak ada proof of concept di sumber terbuka pada tanggal tersebut. Tiada satu pun dari itu yang menjadi bukti bahwa tidak ada yang mencoba; itu adalah ketiadaan upaya yang tercatat.

Setidaknya satu agregator, Mallory, menyebarkan skor 8,7 untuk pengenal yang sama. Catatan NVD tidak memuat metrik CVSS 4.0 sama sekali — hanya 7,3 dari GitLab dan 8,1 dari NIST — sehingga angka tersebut tidak dapat direproduksi dari sumber pihak pertama mana pun yang ditinjau, dan tidak digunakan di sini.

Apa yang sudah mapan, dan apa yang belum

Arsip menilai entri ini pada tingkat keyakinan A, tidak diperselisihkan, tanpa bahaya nyata yang tercatat. Tingkat itu benar-benar berperan di sini: dokumen-dokumennya saling sesuai, dan tidak satu pun darinya menggambarkan bahaya. Pemisahan di bawah ini adalah bagian yang tidak dapat diwakili oleh ringkasan satu baris.

• Ditetapkan: cacat pada agen AI Duo Claude memungkinkan peran Developer yang terautentikasi menjalankan perintah arbitrer dalam konteks CI, karena agen tersebut memproses konfigurasi dari sumber yang dikendalikan pengguna. GitLab menetapkan CWE-829 dan CVSS 7.3.

• Ditetapkan: rentang yang terdampak dan perbaikannya — 18.9 hingga 19.1.7, 19.2 hingga 19.2.5, 19.3 hingga 19.3.1, ditambal pada 26 Agustus 2026 di 19.1.7, 19.2.5 dan 19.3.1. Kerentanan ini tercatat pada GitLab EE; rilis yang sama juga menambal CE, untuk cacat yang berbeda.

• Dipastikan: kredit pelapor kepada thwin_htet melalui program HackerOne GitLab, dan status operasional yang GitLab berikan kepada pelanggan — GitLab.com sudah ditambal, GitLab Dedicated di luar cakupan tindakan yang diperlukan, instalasi self-managed diminta segera melakukan upgrade.

• Ditetapkan: belum ada eksploitasi yang dilaporkan. Penilaian SSVC dari CISA menyatakan tidak ada; EPSS tetap di bawah satu persen hingga akhir Oktober 2026; CVE tersebut tidak tercantum dalam katalog KEV menurut OpenCVE; CERT Santé mencatat tidak ada eksploitasi aktif sehari setelah pengungkapan.

• Diatribusikan, tetapi tidak dikonfirmasi oleh vendor: deskripsi dampak — rahasia dapat dibaca, artefak dapat diubah, rilis dapat dimanipulasi — merupakan catatan pemberitaan tentang apa yang umumnya diizinkan oleh lingkup token sebuah job CI, bukan temuan bahwa hal-hal tersebut benar-benar terjadi dalam kasus ini. Cyber Security News dan GBHackers keduanya membingkainya dengan "could" dan "depending on"; tidak ada satu pun dari keduanya yang melaporkan adanya kejadian.

• Belum dapat dipastikan:fitur Duo mana dan kolom konfigurasi mana yang terlibat, serta apa sumber yang dikendalikan pengguna sebenarnya. Pernyataan vendor tidak mengidentifikasinya.

• Belum dipastikan:berapa banyak instalasi self-managed Enterprise yang berada pada rentang terdampak, berapa banyak yang melakukan upgrade setelah 26 Agustus 2026, atau apakah ada yang diserang. Tidak ada sumber yang ditinjau yang mengukur adopsi, dan vendor tidak menerbitkan metode deteksi untuk instans yang di-patch terlambat.

• Belum ditetapkan: mekanisme teknisnya. Menurut aturan 90 hari GitLab, isu ini akan menjadi publik sekitar akhir November 2026; hingga saat itu, item pelacak yang tertaut hanyalah penunjuk ke penjelasan yang belum tersedia untuk publik.

Perbaikan, waktu henti, dan penantian 90 hari

GitLab merilis 19.3.1, 19.2.5 dan 19.1.7 untuk Community dan Enterprise Edition pada 26 Agustus 2026, dan menyatakan sangat merekomendasikan agar semua instalasi self-managed segera ditingkatkan ke salah satu versi tersebut. Bagian Community Edition dari rilis ini penting karena celah lain dalam batch yang sama — CVE-2026-77801, masalah denial-of-service pada pipeline impor dengan peringkat 6.5 — juga memengaruhi CE maupun EE. CVE-2026-18252 sendiri hanya tercatat pada Enterprise Edition.

Tidak ada solusi sementara dari vendor. Peringatan CERT Santé mencatat bahwa tidak ada solusi sementara yang tersedia, dan catatan GitLab tidak menawarkan satu pun; satu-satunya perbaikan yang dinyatakan adalah peningkatan versi. Rilis ini juga bukan solusi pasang langsung. Rilis ini mencakup migrasi basis data reguler pada ketiga versi dan migrasi pascapenerapan pada 19.3.1 dan 19.2.5, yang menurut GitLab akan menyebabkan downtime pada instalasi node tunggal selama migrasi berlangsung. Penerapan multi-node dapat menggunakan prosedur peningkatan versi tanpa downtime milik GitLab.

Enam perbaikan lainnya layak untuk dilihat sekilas karena salah satunya sangat dekat dengan tema entri ini. CVE-2026-15387, dengan peringkat 4.3 dan diperbaiki dalam tiga versi yang sama, memungkinkan pengguna terautentikasi dengan izin peran developer memengaruhi lingkungan eksekusi job penegakan Pipeline Execution Policy melalui penanganan dependensi job yang tidak tepat. Dua jalur peran developer menuju eksekusi job, satu diberi peringkat High dan satu Medium, ditutup dalam patch yang sama.

Kebijakan pengungkapan GitLab menjelaskan mengapa mekanisme tersebut tetap tidak transparan. Catatan patch-nya menyatakan bahwa issue yang merinci setiap kerentanan dipublikasikan di pelacak issue 90 hari setelah rilis tempat patch dilakukan. Dihitung dari 26 Agustus 2026, hal itu menempatkan tulisan teknis untuk CVE-2026-18252 pada minggu terakhir November 2026. Sampai saat itu, referensi pelacak dalam catatan CVE tidak memiliki tulisan teknis publik di baliknya yang dapat dibaca artikel ini.

Di mana posisi ini dibandingkan dengan cacat agen GitLab lainnya

GitLab mengungkapkan kerentanan kedua yang terpisah terkait agen pada 2 Oktober 2026: CVE-2026-90970, dengan peringkat 9.9, di AI Gateway, bukan di agen AI Duo Claude, dan dapat dijangkau melalui templat prompt alur yang dirancang khusus, bukan melalui konfigurasi CI. Keduanya adalah bug berbeda di komponen berbeda dengan skor berbeda, dan arsip menyimpannya sebagai entri terpisah. Yang mereka bagi adalah bentuknya — komponen AI dalam jalur pengiriman yang bertindak atas konfigurasi yang dapat dipengaruhi oleh pengguna dengan hak istimewa lebih rendah — yang menjadi alasan mengapa entri Oktober layak dibaca bersama entri ini, bukan sebagai penggantinya.

Bagi operator, pilihannya terbatas. Periksa versinya: 19.1.7, 19.2.5, dan 19.3.1 adalah rilis yang telah diperbaiki, dan apa pun dalam tiga rentang yang disebutkan itu terdampak. Tidak ada solusi sementara yang bisa dijalankan selama itu, dan hingga akhir November belum ada deskripsi teknis yang diterbitkan sebagai acuan untuk mengaudit instans yang ditambal terlambat. Yang ada hanyalah catatan bahwa tidak ada yang melaporkan eksploitasi — yang merupakan pernyataan tentang ketiadaan bukti, bukan jaminan vendor bahwa tidak terjadi kebobolan.