CVE-2026-97229: 심각한 GitLab RCE 취약점이 인증되지 않은 코드 실행을 가능하게 합니다.

GitLab이 GitLab Community Edition (CE) 및 Enterprise Edition (EE)에 영향을 미치는 최대 심각도의 원격 코드 실행 취약점인 CVE-2026-97229를 해결하기 위한 긴급 보안 업데이트를 발표했습니다. 이 결함은 CVSS 점수 10.0을 가지고 있으며 인증되지 않은 원격 공격자가 특정 조건에서 취약한 GitLab 서버에서 임의의 코드를 실행할 수 있도록 허용할 수 있습니다.

취약점은 GitLab의 CI/CD 정규 표현식 컴파일러에 존재하며, 특수하게 제작된 정규 표현식의 불충분한 검증으로 인해 발생합니다. 성공적인 악용 시 인증이나 사용자 상호 작용 없이 GitLab 환경의 기밀성, 무결성 및 가용성을 손상시킬 수 있습니다.

GitLab은 2026년 10월 12일에 버전 19.2.8, 19.3.4 및 19.4.2의 수정된 버전을 발표하여 자체 관리 설치의 관리자가 즉시 업그레이드할 것을 강력히 권장했습니다. GitLab.com은 이미 수정된 릴리스를 실행 중이며, GitLab 전용 고객은 추가 조치를 취할 필요가 없습니다.

소스 코드 관리 및 CI/CD 인프라가 민감한 리포지토리, 자격 증명, 배포 비밀 및 프로덕션 환경에 대한 액세스를 포함하는 경우 GitLab의 취약점은 현대 소프트웨어 공급망에 중대한 위험을 초래할 수 있습니다.

보안 팀은 SOC Prime의 AI-Native Detection Intelligence Platform으로 새로운 취약점 악용에 대한 방어를 강화할 수 있으며, 위협 사냥과 탐지 엔지니어링을 가속화하면서 조직의 보안 원격 측정에 탐지 논리를 적응시킬 수 있습니다.

영업팀에 문의하기

CVE-2026-97229 분석

CVE-2026-97229는 현재 취약한 세 가지 릴리스 브랜치에 걸쳐 GitLab CE 및 EE 설치에 영향을 미칩니다:

• GitLab 19.2 19.2.8 이전
• GitLab 19.3 19.3.4 이전
• GitLab 19.4 19.4.2 이전

취약점은 CI/CD 정규 표현식 컴파일러의 정수 오버플로로 인해 발생합니다. 이 컴포넌트는 프로젝트 파이프라인 구성 내에서 사용되는 정규 표현식을 처리합니다. GitLab에 따르면, 불충분한 정규 표현식 검증으로 인해 인증되지 않은 공격자가 특수하게 제작된 표현식을 제공할 수 있으며 이는 결국 GitLab 서버에서 임의의 코드 실행을 초래합니다.

GitLab은 이 취약점에 대해 최대 CVSS 3.1 점수인 10.0과 벡터 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H를 부여했습니다. 이는 인증이나 사용자 상호작용이 필요하지 않은 네트워크 접근 가능한 취약점의 심각성을 반영하며, 기밀성, 무결성 및 가용성에 높은 영향을 미칠 수 있습니다.

이 결함은 특히 위험합니다. 왜냐하면 GitLab 서버는 개발 인프라 내에서 고도의 특권적 위치를 차지하는 경우가 많기 때문입니다. 이들은 독점적 소스 코드, CI/CD 변수, 배포 자격 증명, 접근 토큰, 구성 파일 및 클라우드 및 프로덕션 환경과의 통합을 호스팅할 수 있습니다.

기저 GitLab 서버에서의 임의의 코드 실행은 따라서 공격자에게 민감한 리포지토리에 접근하거나 비밀을 추출하고, 소스 코드를 조작하며, 파이프라인을 방해하고, 지속성을 확립하거나, 손상된 인프라를 사용하여 추가 시스템으로 나아갈 수 있는 기회를 제공할 수 있습니다.

이 취약점은 GitLab의 버그 바운티 프로그램 HackerOne을 통해 보안 연구자 joaxcar에 의해 GitLab에 보고되었습니다. GitLab은 문제의 초기 발견 날짜나 비공개 보고 날짜를 공개적으로 명시하지 않았습니다. 이 문제는 2026년 10월 12일에 중요한 패치 릴리스와 함께 공개되었습니다.

이번 공개는 GitLab의 정규 표현식 처리 구성요소에 영향을 미치는 최근의 다른 취약점에 이어 발표되었습니다. 2026년 9월, GitLab은 정규 표현식 컴파일러의 또 다른 정수 오버플로인 CVE-2026-93577과 정규 표현식 파서의 이중 자유 취약점인 CVE-2026-89078을 수정했습니다. 이들 이전의 취약점은 인증이 필요했으나, 새롭게 공개된 취약점은 GitLab이 설명한 조건에서 인증되지 않은 공격자에 의해 트리거될 수 있습니다.

2026년 10월 12일 기준으로 GitLab과 참조된 보안 보고서는 실제 공격에서의 취약점의 활성 악용을 확인하지 않았습니다. 작성 시 검토된 주요 소스에서 공개적으로 유효한 CVE-2026-97229 PoC가 문서화되지 않았습니다.

CVE-2026-97229 탐지를 위해, 방어자는 자체 관리 GitLab 인프라에서 의심스러운 CI/CD 구성 활동, 이상한 정규 표현식, 예상치 못한 GitLab 서비스 동작 및 서버 측 GitLab 구성요소에서 스폰된 비정상적인 프로세스를 모니터링해야 합니다.

성공적인 악용이 임의의 코드 실행을 제공하기 때문에, 악용 후 행동은 공격자의 목표에 따라 상당히 달라질 수 있습니다. 따라서 모니터링은 취약점별 요청 패턴을 넘어 프로세스 실행, 아웃바운드 네트워크 활동, 자격 증명 액세스, 지속성 메커니즘 및 리포지토리 또는 CI/CD 구성의 예상치 못한 수정에 이르기까지 확장되어야 합니다.

CVE-2026-97229 완화 조치

GitLab은 자체 관리 CE 및 EE 배포의 관리자에게 즉시 수정 버전으로 업그레이드할 것을 강력히 권장합니다:

• 19.4.2 또는 이후
• 19.3.4 또는 이후
• 19.2.8 또는 이후

GitLab.com은 이미 패치된 버전으로 업그레이드되었으며, GitLab 전용 고객은 조치를 취할 필요가 없습니다. CERT-EU는 유사하게 인터넷에 직접 접근 가능한 자체 관리 인스턴스에 업데이트를 우선하도록 권장합니다.

조직은 먼저 자체 관리 GitLab 설치를 인벤토리 하고 정확한 버전을 결정해야 합니다. 인터넷에 노출된 인스턴스 및 민감한 개발, 배포, 클라우드 또는 프로덕션 인프라와 통합된 서버는 가장 높은 수습 우선순위를 받아야 합니다.

관리자는 예기치 않거나 설명되지 않은 정규 표현식 패턴에 대한 최근 CI/CD 구성 변경을 검토해야 합니다. 의심스러운 구성 수정은 인증 활동, Git 리포지토리 변경, 서버 원격 감시, 프로세스 실행 이벤트와 상관되어야 합니다.

CVE-2026-97229 악용 시도를 탐지하기 위해 보안 팀은 GitLab CI/CD 구성 처리가 이뤄진 후에 비정상적인 서버 측 프로세스 실행, 예기치 않은 쉘 활동, 아웃바운드 연결 또는 민감한 리포지토리 및 파이프라인 리소스 변경과 관련된 이상한 활동을 찾아야 합니다.

GitLab이 CVE-2026-97229에 대한 공격 특정 IOC를 공개하지 않았기 때문에, 방어자는 정적 해시, IP 주소 또는 도메인을 기다리기보다는 동작 모니터링에 의존해야 합니다. 악용의 징후를 발견한 조직은 GitLab 서버를 잠재적으로 손상된 것으로 간주하고 CI/CD 비밀, 리포지토리 자격 증명, 실행자, 배포 토큰 및 연결된 인프라에 대한 액세스를 조사해야 합니다.

의심되는 손상된 인스턴스로부터 접근 가능한 자격 증명과 비밀은 수습 후 회전해야 합니다. 보안 팀은 또한 리포지토리 역사와 파이프라인 구성을 검토하여 기저의 서버가 패치된 이후에도 소프트웨어 공급망 지속성을 확립할 수 있는 불허된 변경 사항을 찾아야 합니다.

SOC Prime의 AI-Native Detection Intelligence Platform은 보안 팀이 새로운 위협 정보를 운영 가능하게 하고, SIEM, EDR 및 기타 보안 환경에 탐지 논리를 적응시켜, 중요한 취약점과 관련된 의심스러운 행동의 빠른 조사를 지원할 수 있습니다.