GitLab이 CI/CD Regular Expression Compiler 구성 요소에서 최고 심각도로 분류된 치명적 보안 취약점이 발견됐다고 사용자들에게 경고했다. 이 취약점은 원격의 인증되지 않은 공격자가 표적 GitLab 서버에서 임의의 코드를 실행하도록 허용할 수 있다. 이 취약점의 번호는 CVE-2026-97229이며, joaxcar라는 가명을 사용하는 보안 연구원이 발견해 HackerOne의 버그 바운티 프로그램을 통해 신고했다.
취약점은 어떻게 작동하는가?
이 문제는 CI/CD 파이프라인 구성 파일에서 정규 표현식을 분석하고 변환하며 평가하는 구성 요소인 정규 표현식 컴파일러 내부의 정수 오버플로 유형 취약점과 관련이 있다. GitLab의 설명에 따르면 특정 조건에서 CI/CD 설정에 특수하게 조작된 표현식을 삽입해 정규 표현식에 대한 불충분한 검증을 악용할 수 있으며, 이를 통해 인증되지 않은 사용자가 GitLab 서버에서 코드를 실행할 수 있다.
영향받는 버전 및 업데이트
GitLab은 Community Edition과 Enterprise Edition에서 다음 버전으로 문제를 해결했다.
- 19.2.8 이전 버전 대신 19.2.8 이상.
- 19.3.4 이전 버전 대신 19.3.4 이상.
- 19.4.2 이전 버전 대신 19.4.2 이상.
회사는 모든 자체 호스팅 GitLab 설치 사용자에게 이러한 버전 중 하나로 즉시 업그레이드할 것을 권고한다. 해당 버전에는 버그 및 보안 취약점에 대한 수정 사항도 포함되어 있다. GitLab.com 서비스는 이미 패치된 버전으로 운영되고 있으며, 회사에 따르면 GitLab Dedicated 고객은 별도의 조치를 취할 필요가 없다.
이 소식이 중요한 이유
이 취약점이 중요한 이유는 악용에 인증이 필요하지 않다는 점이다. 공격이 성공하면 프로젝트와 CI/CD 파이프라인을 호스팅하는 서버에서 코드가 실행될 수 있다. 따라서 현재 알려진 정보에 따르면 실제 영향 범위는 GitLab.com 또는 GitLab Dedicated 사용자가 아니라 GitLab을 직접 관리하는 환경에 집중된다.
이번 조치는 GitLab이 최근 몇 달 동안 해결한 일련의 취약점에 이어 이뤄졌다. 1월에는 CVE-2026-0723이라는 고위험 취약점인 2단계 인증 우회 취약점을 해결했으며, 지난달에는 CVE-2026-85706이라는 또 다른 최고 심각도 취약점을 수정했다. 이 취약점은 인증되지 않은 공격자가 영향을 받은 서버에서 자격 증명과 비밀 정보를 포함한 민감한 데이터를 읽을 수 있도록 했다.
미국 사이버보안·인프라 보안국(CISA)은 CVE-2026-85706을 GitLab이 수정한 지 하루 만에 실제 악용 취약점 카탈로그에 추가하고, 연방 기관에 3일 이내 시스템을 보호하도록 요청했다. 또한 공개된 정보에 따르면 CISA는 2021년 11월 이후 공격에서 GitLab 취약점 5건이 악용된 것을 확인했으며, 이 중 하나는 랜섬웨어 공격을 수행하는 그룹들이 사용했다.
출처는 새로운 취약점인 CVE-2026-97229가 현재까지 실제로 악용됐다는 사실을 입증하지 않는다. 따라서 확실한 조치는 자체 호스팅 버전을 긴급히 업데이트하고 관련 CI/CD 설정을 검토하는 것이다.