CVE-2026-110264: 12년간 출시된 버전을 영향을 미치는 치명적인 GitLab RCE 결함

GitLab은 CVE-2026-110264를 해결하는 긴급 보안 업데이트를 발표했으며, 이는 취약한 자체 관리 GitLab 서버에서 권한이 없는 공격자가 임의의 코드를 실행할 수 있게 하는 최대 심각도의 취약점입니다. 이 결함은 CVSS 점수가 10.0이며, GitLab 커뮤니티 에디션(CE)과 엔터프라이즈 에디션(EE) 모두에 영향을 미칩니다.

이 취약점은 영향을 받는 코드가 2014년에 출시된 GitLab 7.0까지 거슬러 올라가기 때문에 특히 주목할 만합니다. 이는 대략 12년간의 GitLab 릴리스를 취약한 범위 내에 포함시키지만, 현재까지는 공격자가 그 기간 동안 이 취약점을 악용했다는 증거는 없습니다. GitLab은 2026년 10월 21일에 문제를 공개하고 패치된 버전을 발표했습니다.

이 취약점은 GitLab이 특수하게 제작된 정규 표현식을 컴파일할 때 트리거되는 정수 오버플로에서 기인합니다. 특정 조건에서, 권한이 없는 공격자가 이 조건을 사용하여 기본 GitLab 서버에서 임의의 코드를 실행할 수 있습니다. GitLab은 관리자가 패치를 배포할 동안 완전한 익스플로잇 경로와 구체적인 전제 조건을 의도적으로 보류했습니다.

자체 관리 GitLab 인프라를 운영하는 조직의 경우 잠재적 영향은 심각합니다. GitLab 리포지토리에는 자주 소스 코드, CI/CD 구성, 배포 비밀번호, 액세스 토큰, 인프라 정의 및 프로덕션 환경에 대한 연결이 포함됩니다. 따라서 서버 수준의 침해는 자격 증명 도난, 리포지토리 조작, 공급망 공격, 지속성 또는 횡적 이동을 가능하게 할 수 있습니다.

CVE-2026-110264 탐지 기회를 찾는 보안 팀은 SOC Prime의 AI-Native Detection Intelligence Platform을 활용하여 SIEM, EDR 및 데이터 레이크 환경 전반에 걸쳐 취약점 악용 및 관련 침해 후 행동에 대한 가시성을 강화할 수 있습니다.

클릭 탐지 내용 탐색 관련 탐지 콘텐츠와 사냥 논리에 액세스합니다. CVE-2026-110264 익스플로잇 시도를 감지하려면, 방어자는 GitLab 애플리케이션 원격 측정과 프로세스 실행, 비정상적인 서버 동작 및 새로 출시된 GitLab의 위협 탐지 논리를 연결해야 합니다.

보안 실무자는 Prime Architect를 사용하여 새로운 취약점 정보가 Sigma 규칙 및 사냥 쿼리로 변환하고, 탐지 논리를 검증하며, 관련 공격 흐름을 생성하고, 지원되는 보안 플랫폼 전반에서 탐지 콘텐츠를 번역할 수 있습니다.

영업 문의

CVE-2026-110264 분석

GitLab은 이 취약점을 정규 표현식 컴파일러의 정수 오버플로로 설명합니다. 특정 조건에서는, 특수하게 제작된 정규 표현식을 컴파일하는 것이 인증 없이 GitLab 서버에서 임의의 코드 실행을 유발할 수 있습니다.

GitLab은 이 취약점에 대해 최대 CVSS v3.1 점수인 10.0을 부여하였으며, 벡터 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H입니다. 이는 낮은 공격 복잡성과 네트워크 접근 가능성, 권한이 필요 없고 사용자 상호 작용이 필요하지 않은 취약점임을 반영하며, 기밀성, 무결성, 가용성에 대한 잠재적으로 높은 영향을 미칩니다.

보안 연구원 joaxcar가 GitLab의 HackerOne 버그 바운티 프로그램을 통해 이 취약점을 발견하고 보고했습니다. GitLab의 릴리즈 노트에도 루비 정규 표현식 처리를 위한 패치가 언급돼 있으며, 보고서에 따르면 영향을 받는 기본 엔진은 Onigmo로, GitLab 패키지에 포함된 루비의 정규 표현식 구현입니다.

CVE-2026-110264는 다음과 같이 비정상적으로 넓은 범위에 걸쳐 GitLab CE와 EE에 영향을 미칩니다:

• GitLab 7.0부터 18.11.13 이전 버전
• GitLab 19.0부터 19.0.10 이전
• GitLab 19.1부터 19.1.9 이전
• GitLab 19.2부터 19.2.9 이전
• GitLab 19.3부터 19.3.6 이전
• GitLab 19.4부터 19.4.3 이전
• GitLab 19.5부터 19.5.1 이전

GitLab은 심각성과 비정상적으로 넓은 노출로 인해 18.11.13, 19.0.10, 19.1.9, 19.2.9로 수정 사항을 백포팅했습니다.

취약한 기간이 길다고 해서 2014년부터 이 결함이 적극적으로 악용되었다는 의미는 아닙니다. 이 취약한 정규 표현식 기능은 GitLab 7.0으로 거슬러 올라가는 릴리즈 전반에 걸쳐 존재했습니다. GitLab도 제공된 두 보고서도 실제 공격의 악용을 확인하지 않았습니다, 2026년 10월 22일 기준으로.

이 취약점은 10월 초에 패치된 정규 표현식 처리와 관련된 다른 중요한 GitLab 원격 코드 실행 결함인 CVE-2026-97229와 혼동해서는 안 됩니다. 해당 문제는 보다 최근 릴리즈의 좁은 범위에 영향을 미쳤습니다. 해당 취약점에 대한 10월 12일자 수정 사항을 설치한다고 해서 이 새로 공개된 결함으로부터 자동으로 보호되는 것은 아닙니다.

따라서, 최근 GitLab을 업데이트한 관리자는 이전 10월 보안 릴리즈가 충분한 보호를 제공한다고 가정하기보다는 정확하게 설치된 빌드를 확인해야 합니다.

CVE-2026-110264에 대한 현재 사용 가능한 세부 정보는 취약한 정규 표현식 컴파일러에 도달하기 위해 요구되는 정확한 공격자 제어 입력, 엔드포인트, 기능 또는 조건을 공개하지 않습니다. GitLab은 패치를 포함하는 릴리즈 후 90일이 지나면 보안 문제를 공개하여, 고객이 패치를 수행할 동안 무기화 가능한 기술 정보의 즉각적인 가용성을 줄입니다.

제공된 보고서나 GitLab 권고문에서 공개된 CVE-2026-110264 PoC는 없습니다. 사이버 보안 뉴스에서는 GitLab이 공개 익스플로잇을 게시하지 않았고, 회사는 전체 공격 경로 공개를 제한했다고 특별히 언급하고 있습니다.

동시에, 공개적 개념 증명의 부재가 낮은 위험으로 해석되어서는 안 됩니다. 원격으로 접근 가능한 인증되지 않은 취약점으로, CVSS 10.0 등급은 특히 자체 관리 GitLab 서버가 인터넷에 자주 노출되기 때문에 매력적인 표적을 제공합니다.

현재 GitLab이나 언급된 보안 연구자들이 활성화된 악용을 보고하지 않았기 때문에 악성 IP 주소, 도메인, 페이로드 해시 또는 확립된 익스플로잇 요청 패턴과 같은 캠페인별 CVE-2026-110264 IOCs는 없습니다.

그러나, GitLab은 자체 관리 설치에서 잠재적 익스플로잇 시도를 식별하기 위한 두 가지 위협 탐지를 발표했습니다:

• Onigmo 네이티브 워커 충돌
• Org 모드 렌더 오류 버스트

이 탐지는 취약점을 야기하려는 시도와 관련된 의심스러운 행동을 식별하기 위해 설계되었습니다. 이들의 존재만으로는 성공적인 침해를 확인하지 않으며, 보다 넓은 애플리케이션과 엔드포인트 원격 측정과 연결해야 합니다.

보안 팀은 예상치 못한 GitLab 애플리케이션 충돌, 렌더링 오류의 급증, GitLab 또는 루비 구성 요소에서 시작된 비정상적인 프로세스, 예기치 않은 셸 실행, 신규 생성된 지속 메커니즘, 그리고 정상 운영 패턴에서 벗어난 GitLab 서버의 아웃바운드 연결을 조사해야 합니다.

CVE-2026-110264 완화

GitLab은 영향받는 자체 관리 설치를 운영하는 모든 조직이 즉시 업그레이드 할 것을 강력히 권장합니다. 고정된 버전은 다음과 같습니다:

GitLab.com은 이미 업데이트되었습니다. GitLab Dedicated 테넌트는 내부 버전 19.3.5-internal0, 19.4.2-internal0 또는 이후 버전에서 이미 필요한 수정 사항을 포함하므로 이 취약점에 대한 조치를 취할 필요가 없습니다.

자체 관리 고객은 추가 익스플로잇 세부 정보를 기다리는 동안 수정 작업을 지연해서는 안 됩니다. GitLab은 동등한 보호를 제공하는 대체 해결 방법을 발표하지 않았으므로, 수정된 릴리즈 설치가 신뢰할 수 있는 수정 경로입니다.

업그레이드 전에, 관리자는 GitLab의 업그레이드 문서를 검토하고 데이터베이스 마이그레이션을 고려해야 합니다. GitLab은 단일 노드 배포가 마이그레이션 완료 동안 다운타임을 겪을 수 있다고 경고하며, 적절히 구성된 멀티 노드 환경에서는 벤더의 무중단 업그레이드 프로세스를 따를 수 있습니다. 버전 19.3.6과 19.4.3은 정규 마이그레이션을 포함하고 있으며, 19.4.3은 또한 배포 후 마이그레이션을 포함합니다.

패치 후, 보안 팀은 서버가 결코 표적이 되지 않았음을 증명하는 업데이트 자체로 취급하기 보다는, 역추적 분석을 수행해야 합니다. GitLab 애플리케이션 로그에서 GitLab이 발표한 두 가지 익스플로잇 지표를 검토하고, 업그레이드 이전의 의심스러운 활동을 조사하십시오.

방어자는 또한 운영 체제 원격 측정에서 다음을 조사해야 합니다:

• GitLab, 루비 또는 관련 워커로부터 발생한 예기치 않은 자식 프로세스
• GitLab 서비스 계정에서 셸이나 스크립트 인터프리터 실행
• 새 SSH 키나 관리자 계정
• 리포지토리 또는 CI/CD 파이프라인의 예기치 않은 수정
• 새로 생성된 예약 작업이나 지속 메커니즘
• 러너, 배포 토큰, 개인 액세스 토큰 및 프로젝트 액세스 토큰 변경
• GitLab 서버로부터의 비정상적인 아웃바운드 연결
• CI/CD 변수에 저장된 비밀의 무단 접근
• 예기치 않은 패키지, 릴리스, 또는 리포지토리 수정

협박이 의심될 경우, 조직은 서버를 격리시키고 로그와 포렌식 아티팩트를 보존하며, 잠재적으로 노출된 자격 증명과 토큰을 교체하고, 리포지토리와 CI/CD 워크플로의 무결성을 확인한 후 인스턴스를 프로덕션으로 복원해야 합니다.

GitLab 설치는 소프트웨어 개발 파이프라인 내에서 신뢰할 수 있는 인프라로 자주 작동하기 때문에, 대응자는 공격자가 소스 코드, 아티팩트, 컨테이너 이미지, 인프라 코드 템플릿 또는 배포 워크플로를 수정했을 가능성을 결정해야 합니다. 손상된 GitLab 서버는 원래 서버가 수정된 후에도 하류 공급망 위험을 초래할 수 있습니다.

SOC Prime의 AI-Native Detection Intelligence Platform은 지속적으로 업데이트되는 행동 기반 탐지 콘텐츠를 제공하여 MITRE ATT&CK®에 매핑하여, 새로운 취약점 악용에 대한 감지 태세를 강화하는 데 도움을 줄 수 있습니다.

면책 조항: 모든 CVE에 대해 탐지 콘텐츠는 제공되지 않을 수 있습니다. 현재 적용 범위를 확인하려면 SOC Prime 플랫폼을 확인하세요. 관련 탐지가 아직 제공되지 않았을 경우, 새로운 위협 정보와 탐지 콘텐츠가 지속적으로 추가되므로 수시로 확인하세요.