Reddit

Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases

GitLab CVSS 10.0 취약점, 12년치 릴리스에서 비인증 원격 코드 실행 가능

GitLab이 정규식 컴파일러의 정수 오버플로 취약점을 수정했습니다. 2014년 출시된 7.0부터 영향이 이어지며, 자체 관리형 설치 환경은 해당 브랜치의 수정 버전으로 업그레이드해야 합니다.

에디터 노트

이번 취약점은 CVSS 10.0이라는 점보다 적용 범위와 업데이트 이력이 운영 판단에 직접 영향을 줍니다. 7.0부터 이어진 결함이라 오래된 브랜치도 대상이며, 10월 12일 패치를 적용한 인스턴스까지 이번 수정 버전으로 다시 올려야 합니다. GitLab이 공격 전제 조건과 임시 완화책을 공개하지 않아 설정만으로 영향을 배제할 수 없다는 점도 분명합니다. GitLab은 실제 악용 징후를 보고하지 않았고, 탐지 규칙도 제공했습니다. 다만 규칙은 로그에서 시도를 찾는 수단이고 수정 패치를 대신하지 않습니다. Reddit 댓글은 구체적인 기술 반론이나 검증보다는 연이은 취약점 공지에 대한 피로감을 드러냅니다. 업데이트 결정에서는 영향받는 브랜치뿐 아니라 19.4.3과 19.3.6의 데이터베이스 변경에 따른 단일 노드 다운타임도 함께 고려해야 합니다.

AI 요약

GitLab은 10월 21일, 로그인하지 않은 공격자가 자체 관리형 서버에서 코드를 실행할 수 있는 취약점 CVE-2026-110264의 수정 버전을 공개했습니다. CVSS 점수는 최고치인 10.0입니다. 특수하게 조작한 정규식을 컴파일하는 과정에서 정수 오버플로가 발생해 임의 코드 실행으로 이어질 수 있습니다. GitLab은 공격자가 정규식 컴파일러에 도달하기 위해 어떤 조건을 충족해야 하는지 밝히지 않았습니다.

영향 범위와 수정 버전

취약점은 GitLab 7.0부터 영향을 줍니다. 원인은 GitLab 패키지에 포함되고 자체 빌드 과정에서 패치되는 Ruby 정규식 엔진 Onigmo의 결함입니다. 따라서 2014년 이후 모든 릴리스가 영향 범위에 들어갑니다. GitLab은 여러 릴리스 브랜치에 한꺼번에 수정 사항을 반영했습니다.

19.5 브랜치는 19.5.1, 19.4는 19.4.3, 19.3은 19.3.6, 19.2는 19.2.9, 19.1은 19.1.9, 19.0은 19.0.10으로 올려야 합니다. 7.0부터 18.11까지 사용 중이라면 18.11.13으로 업그레이드해야 합니다. GitLab의 통상적인 수정 정책은 현재 버전과 이전 두 월간 릴리스인 19.5, 19.4, 19.3까지를 대상으로 합니다. 이번에는 심각도가 높아 18.11, 19.0, 19.1, 19.2에도 수정 사항을 역이식했습니다.

10월 12일 패치도 다시 확인해야 합니다

10월 12일 GitLab은 비슷한 정규식 컴파일러 취약점 CVE-2026-97229를 19.2.8, 19.3.5, 19.4.2에서 수정했습니다. 이번 취약점은 19.2 이전 버전까지 영향을 넓혔습니다. 특히 당시 업데이트를 적용한 19.2 이상 설치 환경도 이번 수정 버전보다 한 단계 낮은 상태라면 다시 업데이트해야 합니다.

영향을 받는 곳은 자체 관리형 설치 환경입니다. GitLab.com은 이미 수정 버전을 실행하고 있으며, GitLab Dedicated도 19.3.5-internal0 또는 19.4.2-internal0 이상이면 수정이 적용돼 있습니다. GitLab은 취약점이 실제 공격에 쓰였다는 징후를 보고하지 않았고, 10월 22일 기준 미국 CISA의 알려진 악용 취약점 목록에도 올라 있지 않습니다.

탐지와 업데이트 작업

GitLab은 자체 관리형 관리자가 공격 시도를 찾을 수 있도록 TLDR 오픈소스 프레임워크에 Sigma 형식 탐지 규칙 두 개를 공개했습니다. 이름은 "Onigmo native worker crash"와 "Org mode render error burst"이며 GitLab 애플리케이션 로그를 대상으로 합니다. 다만 공격 전제 조건을 공개하지 않아 관리자는 설정만으로 취약 여부를 배제할 수 없습니다. GitLab 권고에는 임시 완화책도 없습니다. 확실한 보호 방법은 수정 버전으로 업데이트하는 것입니다.

업데이트에는 서비스 중단이 따를 수 있습니다. 19.4.3과 19.3.6은 업그레이드 중 데이터베이스 변경 작업을 실행하며, 단일 노드 서버에서는 작업이 끝날 때까지 다운타임이 발생합니다. 다중 노드 구성은 GitLab의 무중단 업그레이드 절차를 따라 패치할 수 있습니다.

같은 릴리스의 다른 보안 수정

10월 21일 업데이트는 보안 문제 11건을 수정했습니다. 그중 CVE-2026-15723은 관리자 설정에서 SAML과 LDAP 자동 연결을 모두 활성화한 경우 로그인 사용자가 다른 계정을 탈취할 수 있는 취약점으로, CVSS 8.2입니다. CVE-2026-112212는 공유 캐시를 사용하는 환경에서 OAuth 및 OpenID Connect 로그인 흐름을 공격자가 제어하는 서버로 돌릴 수 있는 캐시 포이즈닝 문제로, CVSS 7.5입니다. 앞서 9월 23일에는 로그인 계정이 필요한 CVSS 9.9 취약점 두 건인 CVE-2026-93577과 CVE-2026-89078도 수정됐습니다.

Reddit 반응

  • @u/mesarthim_2 — 사장님, 전 지쳤습니다...
    • @u/dredbar — 진짜요. 어제는 정말 지독했어요.
    • @u/lgq2002 — 받아들이세요. AI의 도움으로 CVE가 활짝 피어나고 있잖아요!
  • @u/aivee-is-a-fool — 이번 주에서 저 좀 꺼내주세요.
  • @u/antmatt — 정말 지쳤습니다.
  • @u/Crozonzarto — 아, 젠장.
  • @u/mb194dc — 잘되는 일이 너무 많아서 따라가기도 힘드네요...
  • @u/PenguinsStoleMyCat — 오, 내게는 영향이 없는 취약점이네요! GitHub, 이걸 보고 따라 할 생각은 하지 마세요...
  • @u/irbinator — 2026년 10월 21일이라니. 휴.
  • @u/LifeisDankiThink — 이 대기업들은 바이브 코딩으로 에이전트나 만들어서 파멸을 막으면 안 되나요?
  • @u/Noah18923 — 답글에 이미지를 못 올리게 하는 답답한 운영진 때문에 링크로 올립니다: https://c.tenor.com/DXUlofTJe9oAAAAC/tenor.gif
    • @u/One_Paint8721 — 공유해줘서 고마워요.
    • @u/Noah18923 — 이런... 이번 주는 익스플로잇 주간인가 보네요: https://www.reddit.com/r/technology/comments/1xcg4d5/333_tor_exit_nodes_hijacked_to_intercept_ssh/
  • @u/getsky — 우리 지금 즐거운 거 맞나요?
    • @u/One_Paint8721 — https://imgur.com/a/vkuRpaB
  • @u/CryptoIsTheFuture78 — AI가 취약점을 찾고 패치하는 일을 실시간으로 해야 합니다.
  • @u/XYMYX — 사장님, 저 휴가 중입니다. 2주 뒤에 뵙겠습니다.
  • @u/Jskidmore1217 — 맥락을 알려주실 분 있나요? Mythos 관련 내용이 드디어 공개되기 시작한 건가요? 기다리고 있었는데요. 지난 며칠간 그런 느낌이 들었어요. 제가 엉뚱한 쪽으로 보고 있나요?
  • @u/Mostly__Relevant — CVSS 10이라니, 젠장.
원문 보기 ↗토론 보기 ↗