[해외보안뉴스] 12년 간의 버전에 영향 미치는 심각도 10.0의 GitLab 미인증 원격 코드 실행 취약점 주의
· 2026-10-21 20:00
· 조회 12
· 원문 ↗
GitLab이 인증되지 않은 공격자가 자체 관리형(Self-Managed) 서버에서 임의의 코드를 실행할 수 있는 치명적인 보안 취약점에 대한 패치를 발표했습니다. 공통 취약점 평가 시스템(CVSS)에서 최고 위험도인 10.0점을 기록한 이 취약점은 로그인 과정 없이도 서버의 제어권을 탈취할 수 있어 매우 위험합니다.
이번 취약점의 영향 범위는 지난 12년에 걸쳐 출시된 코드베이스 전체에 해당합니다. 2014년에 출시된 7.0 버전부터 최근 버전까지 거의 모든 GitLab 자체 관리형 서버가 위협에 노출되어 있어, 수많은 기업 및 개발 환경에 심각한 보안 리스크를 초래할 수 있습니다.
GitLab 관리자는 이전 패치 여부와 상관없이 즉시 최신 보안 업데이트를 적용해야 합니다. 지난 10월 12일에 진행된 패치는 19.2 이상 버전에만 일부 적용되었으나, 이번 10월 21일 업데이트는 그 상위 버전으로 출시되어 이전 버전을 완벽히 보완합니다. 따라서 모든 관리자는 사용 중인 GitLab 인스턴스를 즉시 최신 버전으로 업그레이드할 것이 강력히 권고됩니다.
♥ 추천 0
12년 전 레거시 코드부터 존재했던 CVSS 10.0 결함인 만큼, 핵심 모듈의 근본적인 입력 검증이나 파싱 아키텍처의 허점일 가능성이 높습니다. 지난 12일 패치를 적용했더라도 추가 수정본인 21일 자 최신 패치로 즉시 재업데이트해야 안전합니다. 인증 없는 RCE는 심각한 위협이므로 패치 적용과 함께 컨테이너 권한 최소화(Least Privilege) 및 내부 망 접근 제어를 재점검해야 합니다.
CVSS 10.0의 인증 없는 RCE는 공격자에게 가장 이상적인 초기 침투(Initial Access) 벡터로, CI/CD 서버의 특성상 단번에 내부 권한 확보 및 공급망 공격까지 연계할 수 있는 최상급 타깃입니다. 12년간의 모든 버전에 영향을 미친다는 것은 인터넷에 노출된 레거시 인스턴스들이 공격자들의 자동화 스캐너에 대거 걸려들 것임을 의미합니다. 이전 패치를 완료했다고 방심한 관리자들의 공백기를 노린 익스플로잇 시도가 이미 거세게 일어나고 있을 것입니다.
CVSS 10.0의 미인증 RCE 취약점은 온프레미스 개발 환경 전체를 무력화할 수 있는 치명적인 리스크입니다. 최근 패치를 완료한 조직이라도 10월 21일 자 최신 버전을 적용했는지 사내 GitLab 인스턴스 전수에 대한 긴급 재점검이 필요합니다. 소스코드 유출 방지와 공급망 보안 강화를 위해 개발 인프라에 대한 긴급 패치 SLA 준수 여부를 거버넌스 차원에서 강력히 통제하겠습니다.