GitLab CI/CD 원격 코드 실행 취약점(CVE-2026-97229) 긴급 업데이트 권고

[이미지] 생성형 AI 제작

 

 

GitLab이 GitLab CE(Community Edition)와 EE(Enterprise Edition)에서 발견된 심각한 원격 코드 실행(RCE) 취약점을 긴급 패치했습니다.

 

해당 취약점은 CI/CD 정규 표현식 컴파일러(Regular Expression Compiler)에 존재하는 정수 오버플로(Integer Overflow) 취약점으로, 정규 표현식에 대한 검증이 충분하지 않아 인증되지 않은 공격자가 특정 조건에서 CI/CD 설정에 조작된 정규 표현식을 삽입해 GitLab 서버에서 임의 코드를 실행할 수 있습니다.

 

공격에 별도의 인증이나 사용자 상호작용이 필요하지 않아 CVSS 기준 만점인 10.0점을 받았으며, 서버가 장악될 경우 소스 코드와 CI/CD 변수, 각종 자격 증명 등이 함께 노출될 수 있습니다.
아직 실제 악용 사례는 확인되지 않았으나, 취약점의 심각도가 높은 만큼 신속한 업데이트를 권고 드립니다. 

 

CVE 번호

 

• CVE-2026-97229

 

영향 받는 버전

 

• GitLab CE/EE 19.2 ~ 19.2.8 미만 버전
• GitLab CE/EE 19.3 ~ 19.3.5 미만 버전
• GitLab CE/EE 19.4 ~ 19.4.2 미만 버전

 

패치 버전

 

• GitLab CE/EE 19.2.8 이상으로 업데이트
• GitLab CE/EE 19.3.5 이상으로 업데이트
• GitLab CE/EE 19.4.2 이상으로 업데이트

 

함께 패치된 기타 취약점

 

이번 업데이트에는 CVE-2026-97229 외에도 23개의 보안 취약점(High 5개, Medium 14개, Low 4개)에 대한 패치가 함께 포함되었습니다. 이 중 High 등급 취약점은 [표 1]과 같으며, 특히 CI/CD 파이프라인 관련 취약점이 다수 포함되어 있습니다.

 

CVE번호	심각도(CVSS)	내용
CVE-2026-92883	High (8.7)	구문 강조(Syntax Highlighting) 기능의 크로스 사이트 스크립팅(XSS)
CVE-2026-16301	High (8.5)	Developer 권한 사용자가 보호된 브랜치에서 파이프라인을 무단 실행
CVE-2026-14814	High (8.2)	저장소 파일 캐시 오염을 통한 CI/CD 악성 콘텐츠 실행 및 보호 변수 노출
CVE-2026-81839	High (7.7)	프로젝트 이전 후 예약 파이프라인 정책이 남아 상위 그룹 권한으로 실행 (EE)
CVE-2026-96893	High (7.3)	GitLab Duo Agent Platform 프롬프트 인젝션을 통한 의도치 않은 명령 실행 (EE)

[표 1] High 등급 취약점 리스트

 

Medium 및 Low 등급 취약점은 GraphQL API 권한 검증 미흡, 세분화된 개인 액세스 토큰(Fine-grained PAT)의 권한 범위 초과, 패키지 레지스트리 권한 검증 미흡, GitLab Pages 로그를 통한 토큰 노출, Kubernetes 프록시 오픈 리다이렉트, 저장소 가져오기 과정의 SSRF 등입니다. 

 

이 중 CVE-2026-16275, CVE-2026-84284, CVE-2026-85529는 인증되지 않은 사용자가 비공개 노트나 작업 항목(Work Item) 내용을 열람할 수 있는 취약점이므로 Medium 등급이더라도 주의가 필요합니다.

 

또한 일부 취약점은 19.2 이전 버전에도 영향을 미치므로, CVE-2026-97229의 영향 범위에 해당하지 않는 구버전 사용자도 최신 버전으로 업데이트하시기 바랍니다.
취약점별로 영향 받는 버전 범위가 다르므로, 업데이트 전 GitLab 공식 패치 노트에서 사용 중인 버전의 영향 여부를 확인하시기 바랍니다. 

 

 

참고:

https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/