깃랩, CVSS 10점 RCE 긴급 패치 공개

깃랩(GitLab)이 2026년 10월 21일 긴급 보안 패치를 내놨습니다. 커뮤니티 에디션(CE)과 엔터프라이즈 에디션(EE) 모두 해당되고, 수정 버전은 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13입니다. 자체 호스팅(self-managed) 인스턴스를 쓰는 곳이라면 바로 올려야 하는 건이라 공유합니다.

핵심은 CVE-2026-110264입니다. CVSS 10.0 만점에 벡터는 AV:N/AC:L/PR:N/UI:N 으로, 인증 없이 원격에서 코드 실행(RCE)이 가능한 취약점입니다. 원인은 정규식 컴파일 과정의 정수 오버플로(integer overflow)이고, 공격자가 특수하게 조작한 정규식을 서버가 컴파일하도록 만드는 방식으로 트리거됩니다.

영향 범위가 넓은 점을 짚어둘 필요가 있습니다. 공식 문서상 영향 버전은 "7.0 이상 18.11.13 미만"부터 각 19.x 라인까지로, 꽤 오래된 코드 경로입니다. 즉 오래된 자체 호스팅 서버일수록 그대로 노출돼 있을 가능성이 높습니다. 공식 우회책(workaround)은 안내돼 있지 않고 해당 버전으로 업그레이드하는 것이 사실상 유일한 조치입니다. 자체 호스팅 인스턴스용 위협 탐지 룰 2종도 함께 배포됐습니다.

이번 패치에는 이 Critical 1건을 포함해 보안 수정이 모두 12건 들어갔습니다. High 2건으로는 OmniAuth-LDAP 자동 연결 인증 우회(CVE-2026-15723)와 OAuth/OIDC 디스커버리 캐시 포이즈닝(CVE-2026-112212)이 있고, 그 밖에 Medium 6건과 Low 3건이 포함됐습니다.

공식 권고문에는 실제 악용 정황이나 공개 PoC 보고는 아직 언급돼 있지 않습니다. 다만 CVSS 10.0에 인증이 필요 없는 RCE라는 점을 생각하면 관망할 사안은 아닌 걸로 보입니다. 사내에 깃랩 서버를 운영 중이라면 버전부터 확인해볼 필요가 있습니다.

🔗 https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/