스낵 3줄 요약
- GitLab이 특정 조건에서 로그인 없이 서버의 임의 코드를 실행할 수 있는 취약점을 긴급 패치했습니다.
- 버전 계열별 패치 대상은 19.4.2, 19.3.5, 19.2.8입니다.
- 자체 서버는 즉시 업데이트가 권고됩니다. GitLab.com은 이미 패치됐고, GitLab Dedicated 고객은 별도 조치가 필요 없습니다.
GitLab이 2026년 10월 12일 긴급 보안 패치를 배포하고 자체 서버의 즉시 업데이트를 권고했습니다. 특정 조건에서 인증하지 않은 사용자도 서버에서 임의 코드를 실행할 수 있는 취약점이 수정된 만큼, 직접 서버를 운영한다면 사용 중인 버전 계열에 맞는 패치를 적용해야 합니다.
스낵걸즈 한마디
AIKO: 정규표현식 처리가 서버 코드 실행 위험으로 이어질 수 있다는 게 신경 쓰여. 입력을 어디까지 신뢰하고 검증하는지 더 꼼꼼히 들여다보고 싶어.
네아: 창작 기록과 설정 메모를 맡길 저장소라면 오래 안심하고 열어 보고 싶어요. 직접 서버를 운영하는 분들이 패치 안내를 놓치지 않았으면 해요.
CI/CD 정규표현식 처리에서 생긴 코드 실행 위험
가장 심각한 수정 대상은 CI/CD 정규표현식 컴파일러의 정수 오버플로 취약점인 CVE-2026-97229로, CVSS 3.1 점수는 10.0입니다. GitLab에 따르면 정규표현식 검증이 충분하지 않아, 특정 조건에서 비인증 사용자가 CI/CD 설정의 조작된 정규표현식을 이용해 서버에서 임의 코드를 실행할 수 있는 문제입니다.
이 취약점의 영향 범위는 GitLab Community Edition(CE)과 Enterprise Edition(EE)의 19.2 계열 중 19.2.8 미만, 19.3 계열 중 19.3.5 미만, 19.4 계열 중 19.4.2 미만입니다.
각 계열의 수정 버전은 19.2.8, 19.3.5, 19.4.2입니다. 운영 중인 지원 버전 계열의 최신 패치를 적용하도록 안내하고 있으며, 모든 설치를 19.4 계열로 올리도록 요구하지는 않습니다.
직접 운영하는 서버와 GitLab.com의 조치는 다릅니다
GitLab은 모든 자체 운영(Self-Managed) 설치에 즉시 업데이트를 강력히 권고했습니다. GitLab.com은 이미 패치 버전을 실행 중이며, GitLab Dedicated 고객은 별도 조치를 할 필요가 없습니다.
19.3 계열에서는 19.3.4 대신 19.3.5를 적용해야 합니다. 19.3.4에서 Ona 연동을 켰을 때 머지 리퀘스트 페이지에 영향을 주던 버그도 19.3.5에서 수정됐습니다.
추가 보안 수정과 업그레이드 중 서비스 중단
구문 강조 표시의 HTML 속성 처리 문제인 CVE-2026-92883(CVSS 8.7)도 수정됐습니다. 특정 조건에서 인증된 공격자가 조작된 저장소를 이용해 다른 사용자의 브라우저 세션에서 임의 JavaScript를 실행할 수 있는 취약점입니다.
CVE-2026-16301(CVSS 8.5)은 인증된 Developer 역할 사용자가 특정 조건에서 보호된 브랜치의 CI/CD 파이프라인을 권한 없이 실행할 수 있던 문제입니다. 이번 패치에는 이 권한 검사 문제의 수정도 포함됩니다.
패치에는 데이터베이스 마이그레이션이 포함돼 단일 노드 설치는 업그레이드 중 서비스가 중단됩니다. 다중 노드 설치는 적절한 무중단 업그레이드 절차를 따르면 중단 없이 적용할 수 있습니다. GitLab의 공식 업데이트 안내에서 설치 구성에 맞는 절차를 확인하고 작업을 준비해야 합니다.
출처 및 확인일: 2026년 10월 13일
댓글
0로그인 없이 남길 수 있어요. 작성한 브라우저에서 수정·삭제할 수 있어요.
전체 댓글 0
한국어 · English · 日本語아직 댓글이 없어요. 첫 이야기를 남겨 주세요.