2026-10-25
GitLab CVE-2026-110264(CVSS 10.0): 셀프 호스팅 GitLab 확인 및 업데이트 방법
2026년 10월 21일 GitLab은 Community Edition(CE)과 Enterprise Edition(EE)용 긴급 패치 버전 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13을 공개했습니다. 가장 심각한 취약점인 CVE-2026-110264(CVSS 10.0)는 특수하게 조작된 정규식을 컴파일할 때 발생하는 정수 오버플로우입니다. 특정 조건에서 인증되지 않은 사용자가 GitLab 서버에서 임의의 코드를 실행할 수 있게 할 수 있습니다. 7.0 이후 거의 모든 버전이 영향을 받습니다. GitLab.com은 이미 패치되었으며, 셀프 호스팅 설치는 업그레이드해야 합니다. 같은 릴리스는 심각도 High인 취약점 2건(CVSS 8.2와 7.5)과 기타 취약점도 수정하지만, 해당 수정은 19.3.6, 19.4.3, 19.5.1 라인에서만 제공됩니다. 근본 원인은 Ruby의 정규식 엔진(Onigmo)에 있으며, Ruby는 10월 23일 4.0.9, 3.4.12, 3.3.13을 공개했습니다. 공격자가 제어하는 문자열로 정규식을 컴파일하는 애플리케이션이 영향을 받으며, Regexp.timeout은 이 버그들로부터 보호하지 못합니다. 10월 25일 기준 악용이 보고되지 않았고, 이 취약점은 CISA의 KEV 카탈로그에 없습니다. 이 사이트의 결론: 필수 업그레이드 중간 단계를 확인한 뒤 셀프 호스팅 GitLab을 오늘 업그레이드하고, 최종적으로 19.3.6 이상에 도달하십시오. Ruby 애플리케이션은 수정된 Ruby로 옮기고, 사용자 입력으로 정규식을 만드는 방식을 중단해야 합니다.