GitLab CE/EE 보안 업데이트, 서버 코드 실행과 계정 연결 문제

무슨 일이 생겼나요

KISA 보호나라는 2026-10-22 GitLab CE/EE의 보안 업데이트를 권고했어요. 이번 문제는 건물의 출입문과 안내판을 함께 점검하는 상황에 비유할 수 있어요. 서버에서 실행되면 안 되는 코드를 실행할 수 있는 문제, 다른 사람의 계정에 연결될 수 있는 문제, 로그인 과정의 안내 정보를 바꿀 수 있는 문제가 서로 다른 지점에서 발견됐기 때문이에요.

이번 권고에는 CVE-2026-110264, CVE-2026-112212, CVE-2026-15723, CVE-2026-89078, CVE-2026-93577이 포함돼요. CVE는 공개된 보안 취약점을 구별하는 식별자예요. 같은 GitLab CE/EE 문제라도 로그인이 필요한지, 특정 계정 연결 기능을 사용해야 하는지, 어느 버전에서 수정됐는지가 달라요.

특히 예전 보안 수정을 적용했다는 사실만으로 이번 권고까지 해결됐다고 판단하면 안 돼요. 예를 들어 19.2.7은 CVE-2026-89078과 CVE-2026-93577의 수정 기준이지만, 같은 버전 계열의 CVE-2026-110264 수정 기준은 19.2.9예요. 또한 각 항목의 수정 버전은 해당 취약점에 대한 기준이므로, 다른 취약점의 영향 범위도 함께 살펴야 해요.

기술적으로는 (초급 개발자용)

CVE-2026-110264와 CVE-2026-93577에는 CWE-190, 즉 정수 오버플로가 연결돼 있어요. 정수 오버플로는 숫자 계산 결과가 프로그램이 담을 수 있는 범위를 벗어나는 문제예요. 여기서는 문자열의 모양이나 규칙을 표현하는 정규식을 실행 가능한 형태로 준비하는 과정에서 문제가 생겨요. CVE-2026-110264는 특정 조건에서 로그인하지 않은 사람도 특별히 만든 정규식으로 GitLab 서버에 임의의 코드를 실행시킬 수 있는 문제예요. CVE-2026-93577은 로그인한 사용자가 CI/CD 설정에 넣은 정규식을 처리할 때 발생할 수 있어요. CI/CD는 코드 변경에 따른 검사와 배포 등을 자동으로 이어서 처리하는 방식이에요. CVSS는 취약점의 기술적 심각도를 나타내는 점수 체계로, 이번 점수는 모두 CVSS 3.1 기준이에요. CVE-2026-110264는 10.0, CRITICAL이고 CVE-2026-93577은 9.9, CRITICAL이에요. 이 점수는 개별 서버가 공격받았다는 증거나 공격 성공 확률을 뜻하지 않아요.

CVE-2026-89078은 CWE-415, 즉 이중 해제 문제예요. 프로그램이 사용하던 메모리를 반환한 뒤 같은 메모리를 다시 반환하려 할 때 생기는 오류를 말해요. 로그인한 사용자가 CI/CD 설정에 넣은 특수한 정규식을 해석하는 과정에서 발생할 수 있고, 특정 조건에서는 GitLab 서버에서 임의의 코드가 실행될 수 있어요. CVSS 점수는 9.9, CRITICAL이에요. CVE-2026-93577과 입력 지점과 결과가 비슷해 보여도, 내부 원인은 서로 달라요.

CVE-2026-15723은 CWE-90, 즉 LDAP 주입 문제예요. LDAP는 조직의 계정 정보를 조회하는 데 사용하는 방식이고, 주입은 입력값이 단순한 검색 대상이 아니라 검색 조건의 일부처럼 작용하는 문제를 뜻해요. 외부 인증으로 로그인하게 하는 OmniAuth SAML과 LDAP 계정 자동 연결을 모두 켠 환경에서, 이메일로 LDAP 계정을 찾는 과정의 입력값 처리가 충분하지 않았어요. 로그인한 사용자가 이 문제를 이용하면 대상 사용자의 별도 행동 없이 기존 LDAP 연동 계정을 가로챌 수 있어요. CVSS 점수는 8.2, HIGH예요. 따라서 GitLab을 쓴다는 사실뿐 아니라 해당 인증 기능을 함께 사용하는지도 영향 판단에 필요해요.

CVE-2026-112212는 로그인 연동에 필요한 주소를 안내하는 OAuth/OIDC 검색 문서와 관련돼요. OAuth/OIDC는 서비스 사이에서 접근 권한이나 로그인 정보를 주고받는 데 사용하는 방식이고, 검색 문서는 그 과정에 필요한 서버 주소 등을 알려주는 안내 정보예요. 이 안내 정보를 여러 요청이 재사용하도록 저장하는 공유 캐시에 잘못된 내용이 들어갈 수 있어요. 주소를 만들 때 사용자 입력값을 부적절하게 신뢰해, 특정 조건에서 로그인하지 않은 사람이 일부 흐름을 외부에서 통제하는 서버로 향하게 할 수 있는 문제예요. 분류에는 CWE-444, 즉 웹 통신 요청인 HTTP의 해석 불일치가 기록돼 있어요. 이 분류명만으로 구체적인 공격 과정을 확대해 해석하기보다는, 여기서는 공유된 로그인 안내 정보와 주소 구성 문제가 핵심이라고 이해하면 돼요. CVSS 점수는 7.5, HIGH예요.

누가 영향을 받나요

일반 사용자

GitLab을 이용해 로그인하거나 개발 작업에 참여하는 사람이라면, 자신이 사용하는 GitLab 서버의 운영자가 업데이트를 적용했는지가 중요해요. 특히 조직 계정으로 로그인하는 환경에서는 계정 연결 문제와 로그인 안내 정보 문제가 관련될 수 있어요. 다만 모든 로그인 방식이 같은 조건으로 영향을 받는 것은 아니며, 계정 가로채기 문제에는 OmniAuth SAML과 LDAP 자동 연결을 함께 사용한다는 조건이 있어요.

일반 이용자는 서버의 업데이트를 직접 처리하기 어려울 수 있어요. 이 경우 운영 담당자에게 GitLab CE/EE의 현재 버전과 이번 권고의 적용 여부를 확인해 달라고 요청하면 돼요. 이번 권고만으로 자신의 계정이 이미 탈취됐거나 로그인 정보가 유출됐다고 판단할 수는 없어요.

개발자

개발자는 CI/CD 설정도 이번 취약점의 입력 경로가 될 수 있다는 점을 알아두면 좋아요. CVE-2026-89078과 CVE-2026-93577은 로그인한 사용자가 설정에 넣은 정규식을 처리할 때 서버 코드 실행으로 이어질 수 있는 문제예요. 설정 파일의 내용이라도 서버가 이를 해석하고 처리하는 과정에서 보안 문제가 생길 수 있어요. 이 문제의 해결 여부는 GitLab 서버에 해당 수정이 적용됐는지로 확인해야 해요.

로그인 연동을 개발하거나 운영팀과 함께 관리한다면, 계정 자동 연결과 로그인 안내 정보도 확인 대상이에요. CVE-2026-15723은 LDAP 계정을 찾고 연결하는 과정에, CVE-2026-112212는 로그인 연동에 사용할 주소를 안내하고 공유하는 과정에 관련돼 있어요. 업데이트 이후에는 해당 기능을 사용하는 환경에서 기존 계정 연결과 로그인 흐름이 정상적으로 동작하는지 확인하면 좋아요.

서버·장비 담당자

담당자는 먼저 GitLab CE/EE의 실제 설치 버전과 인증 구성을 확인해야 해요. CVE-2026-110264의 영향 범위는 7.0 이상 18.11.13 미만, 19.0 이상 19.0.10 미만, 19.1 이상 19.1.9 미만, 19.2 이상 19.2.9 미만, 19.3 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만이에요. CVE-2026-89078과 CVE-2026-93577은 각각 19.2 이상 19.2.7 미만, 19.3 이상 19.3.3 미만, 19.4 이상 19.4.1 미만이 영향 범위예요.

CVE-2026-15723의 영향 범위는 10.1 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만이에요. CVE-2026-112212는 18.3 이상 19.3.6 미만, 19.4 이상 19.4.3 미만, 19.5 이상 19.5.1 미만이에요. 이처럼 넓게 이어지는 영향 범위와 버전 계열별 수정 기준이 섞여 있어요. 따라서 18.11.13이나 19.0.10처럼 특정 취약점이 수정된 버전을 이번 권고 전체의 해결 버전으로 받아들이면 안 돼요. 로그인 없이 서버 코드 실행이 가능한 CVE-2026-110264의 조건과 함께, 실제 사용 중인 인증 기능 및 CI/CD 사용 환경을 살펴 업데이트 우선순위를 정해야 해요.

지금 할 일

1. 현재 운영 중인 GitLab CE/EE의 버전을 확인하고 기록해요. Linux 패키지 설치 환경이라면 아래의 버전·환경 확인 명령을 사용할 수 있어요. 설치 방식이 다르면 제조사 공지에서 해당 환경의 확인 방법을 살펴요.
2. 현재 버전을 취약점별 영향 범위와 각각 대조해요. 로그인 없이 영향을 줄 수 있는 문제와 로그인한 사용자가 입력하는 CI/CD 설정 관련 문제를 함께 확인하고, OmniAuth SAML과 LDAP 자동 연결을 함께 사용하는지도 확인해요.
3. CVE-2026-110264의 수정 기준을 확인해요. 표의 대응 기준은 각각 18.11.13 이상, 19.0.10 이상, 19.1.9 이상, 19.2.9 이상, 19.3.6 이상, 19.4.3 이상, 19.5.1 이상이에요. 이 기준은 해당 취약점에 대한 것이므로 다른 항목의 확인을 생략하지 않아요.
4. 다른 취약점의 수정 기준도 겹쳐 확인해요. CVE-2026-89078과 CVE-2026-93577은 각각 19.2.7 이상, 19.3.3 이상, 19.4.1 이상이 대응 기준이에요. CVE-2026-15723과 CVE-2026-112212는 각각 19.3.6 이상, 19.4.3 이상, 19.5.1 이상이 대응 기준이에요. 예를 들어 19.4 계열에서는 19.4.1만 확인하고 끝내지 말고, 이번 권고의 다른 문제에 필요한 19.4.3 기준도 확인해요.
5. 현재 설치 상태에서 필요한 업데이트 경로와 대상 버전은 제조사 공지로 확인해요. 영향 범위의 끝에 적힌 버전만 보고 중간 절차 없이 이동할 수 있다고 가정하지 말고, 제조사 공지의 업데이트 절차를 따르세요.
6. 업데이트를 적용한 뒤 실제 실행 중인 버전을 다시 확인해요. 이어서 사용 중인 CI/CD 작업과 로그인 연동, 해당되는 경우 LDAP 계정 자동 연결이 정상 동작하는지 점검해요.

sudo gitlab-rake gitlab:env:info

바로 업데이트하기 어렵다면

• 바로 업데이트하기 어렵다면 제조사 공지에서 적용 가능한 임시 조치를 먼저 확인해요. 그 확인을 전제로 GitLab 서버의 접근 대상을 필요한 범위로 제한하거나 불필요한 외부 노출을 줄이는 방안을 검토할 수 있어요. 다만 CI/CD 정규식 관련 문제와 계정 연결 문제는 로그인한 사용자도 조건에 포함되므로, 외부 접근을 줄였다는 이유만으로 해결됐다고 판단하면 안 돼요.

업데이트 후 확인

• 업데이트 후 실제 실행 중인 GitLab CE/EE 버전을 다시 확인하고, 각 CVE의 영향 범위에서 벗어났는지 대조해요. 업데이트 작업을 마쳤다는 기록과 실행 버전 확인 결과를 구분해 살펴요.
• CI/CD를 사용하는 환경에서는 기존 설정을 처리하고 작업을 수행하는 흐름이 정상인지 확인해요. 버전 확인과 기능 확인을 함께 진행하되, 정상 작동한다는 사실만으로 보안 수정 적용 여부를 판단하지 않아요.
• OmniAuth SAML과 LDAP 자동 연결을 함께 사용한다면 기존 계정으로 로그인하고 계정이 연결되는 흐름을 확인해요. OAuth/OIDC 연동을 사용한다면 로그인 과정이 의도한 서버로 이어지는지도 확인해요.
• 완료 기록에는 적용한 버전과 확인한 CVE, 점검한 인증 기능을 남겨요. 특히 먼저 수정된 CI/CD 관련 문제만 확인하고 이번 권고의 다른 항목을 빠뜨리지 않았는지 살펴요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.10.30 확인 기준 아직 올라 있지 않아요.

제조사 공식 공지

• https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/
• https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-1-released/

자주 묻는 질문

Q. CISA KEV에 없으면 실제 공격이 없다는 뜻인가요?

CISA KEV에는 아직 등재되지 않았다. 이 상태를 근거로 실제 공격이나 악용이 있었다고도, 없었다고도 단정할 수는 없어요. 업데이트 필요성은 GitLab 버전과 각 취약점의 영향 조건을 기준으로 판단해야 해요.

Q. 19.2.7로 업데이트했으면 이번 문제를 모두 해결한 건가요?

19.2.7은 CVE-2026-89078과 CVE-2026-93577의 수정 기준이에요. CVE-2026-110264는 같은 계열에서 19.2.9가 수정 기준이고, CVE-2026-15723과 CVE-2026-112212의 영향 범위도 별도로 확인해야 해요. 이번 권고 전체의 적용 여부는 각 항목을 대조한 뒤 제조사 공지의 업데이트 절차에 따라 판단해야 해요.

Q. 로그인한 사용자만 있는 내부 GitLab도 확인해야 하나요?

확인해야 해요. CVE-2026-89078과 CVE-2026-93577은 로그인한 사용자가 CI/CD 설정에 넣은 정규식과 관련돼요. CVE-2026-15723도 로그인한 사용자가 특정 인증 구성에서 다른 LDAP 연동 계정을 가로챌 수 있는 문제예요. 내부에서만 사용한다는 사실만으로 해당 조건이 사라지지는 않으므로, 설치 버전과 사용 중인 기능을 함께 확인해야 해요.