소프트웨어 개발 플랫폼인 깃랩(GitLab)은 정규 표현식 컴파일러(Regular Expression Compiler)의 치명적인 고위험 보안 취약점을 해결하기 위한 긴급 보안 업데이트를 출시했습니다. 이 취약점은 인증되지 않은 공격자가 취약한 서버에서 원격으로 임의의 코드를 실행할 수 있게 합니다.
해당 취약점은 CVE-2026-110264로 식별되었으며, HackerOne 플랫폼의 버그 바운티 프로그램을 통해 joaxcar라는 가명을 사용하는 보안 연구원에 의해 발견되었습니다. 이 보안 문제는 구성 파일 내의 정규 표현식을 분석하고 유효성을 검사하는 백엔드 정규 표현식 엔진 내부의 정수 오버플로(integer overflow) 오류로 인해 발생합니다.
영향을 받는 버전 및 필요한 조치
깃랩은 깃랩 커뮤니티 에디션(CE) 및 엔터프라이즈 에디션(EE)의 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 버전에서 이 결함을 수정했습니다. 회사는 모든 사용자와 관리자에게 위험을 방지하기 위해 즉시 업데이트할 것을 경고했습니다.
회사는 GitLab.com 플랫폼은 이미 업데이트된 버전이 적용되어 있으며, GitLab Dedicated 구독자는 19.3.5-internal0 및 19.4.2-internal0 이후 버전에서 추가 조치 없이 업데이트를 받았다고 설명했습니다.
이 뉴스가 중요한 이유
이번 취약점은 유명 개발 플랫폼의 정규 표현식 분석 구성 요소와 관련된 위험 증가를 강조합니다. 위협 모니터링 네트워크인 Shadowserver의 보고서에 따르면, 인터넷에 노출된 깃랩 커뮤니티 서버가 2,700개 이상 존재하는 것으로 나타났습니다. 이 취약점은 CI/CD(지속적 통합 및 지속적 배포) 시스템의 정규 표현식 엔진과 관련된 CVE-2026-97229와 미국 사이버 보안 기관인 CISA가 실제 공격에서 악용했던 이전의 CVE-2026-85706 등 동일 플랫폼에서 발견된 다른 치명적인 취약점들 직후에 발생하여 더욱 위험합니다.