2026-10-25
GitLab CVE-2026-110264(CVSS 10.0)와 악용되는 CVE-2026-97229: 셀프 호스팅 GitLab 확인 및 업데이트 방법
2026년 10월 21일 GitLab은 Community Edition(CE)과 Enterprise Edition(EE)용 긴급 패치 버전 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13을 공개했습니다. 가장 심각한 취약점인 CVE-2026-110264(CVSS 10.0)는 특수하게 조작된 정규식을 컴파일할 때 발생하는 정수 오버플로우입니다. 특정 조건에서 인증되지 않은 사용자가 GitLab 서버에서 임의의 코드를 실행할 수 있게 할 수 있습니다. 7.0 이후 거의 모든 버전이 영향을 받습니다. 10월 29일 CISA는 자매 취약점 CVE-2026-97229(CVSS 10.0, CWE-190)를 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가했으며 기한은 11월 1일입니다. 같은 종류의 버그(CI/CD 정규식 컴파일러의 정수 오버플로우, 인증되지 않은 사용자가 도달 가능)로, GitLab은 10월 12일 19.4.2, 19.3.5, 19.2.8에서 먼저 수정했으며 영향받는 범위는 19.2.0부터 19.2.7, 19.3.0부터 19.3.4, 19.4.0부터 19.4.1뿐입니다. 아직 19.4.2, 19.3.5, 19.2.8 미만이라면 악용되는 취약점에 노출된 상태입니다. 여기서 권장하는 버전(19.5.1, 19.4.3, 19.3.6, 19.2.9)으로 업그레이드하면 CVE-2026-97229도 함께 수정됩니다. GitLab.com은 이미 패치되었으며, 셀프 호스팅 설치는 업그레이드해야 합니다. 10월 21일 릴리스는 심각도 High인 취약점 2건(CVSS 8.2와 7.5)과 기타 취약점도 수정하지만, 해당 수정은 19.3.6, 19.4.3, 19.5.1 라인에서만 제공됩니다. 근본 원인은 Ruby의 정규식 엔진(Onigmo)에 있으며, Ruby는 10월 23일 4.0.9, 3.4.12, 3.3.13을 공개했습니다. 공격자가 제어하는 문자열로 정규식을 컴파일하는 애플리케이션이 영향을 받으며, Regexp.timeout은 이 버그들로부터 보호하지 못합니다. GitLab의 공지는 CVE-2026-110264가 악용되었다고 밝히지 않았고, 10월 30일 기준 KEV에도 없습니다. Alpine Linux는 10월 20일과 21일 자사 GitLab에 CVE-2026-97229를 통한 공격 시도가 있었고, GitLab만 (19.3.6으로) 업그레이드해서는 수정에 Ruby 패치도 필요했기 때문에 취약점이 막히지 않았으며, 인스턴스를 재구축했고 공격자의 코드가 실행된 증거는 찾지 못했다고 밝혔습니다. 이 사이트의 결론: 필수 업그레이드 중간 단계를 확인한 뒤 셀프 호스팅 GitLab을 오늘 업그레이드하고, 최종적으로 19.3.6 이상에 도달하며, GitLab을 직접 빌드하거나 자체 Ruby를 쓴다면 Ruby도 3.3.13, 3.4.12 또는 4.0.9 이상인지 확인하십시오. Ruby 애플리케이션은 수정된 Ruby로 옮기고, 사용자 입력으로 정규식을 만드는 방식을 중단해야 합니다.