CISA: 해커들, 최고 심각도 GitLab 취약점을 실제 공격에 악용 중

한 줄 요약

미국 사이버보안·인프라보안청(CISA)이 GitLab의 최고 심각도 취약점(CVE-2026-85706)이 실제 공격에 악용되고 있다고 경고했습니다. 이 취약점은 저장소 커밋 API의 인증 누락과 경로 제한 미흡으로 발생하며, 인증되지 않은 공격자가 단 하나의 HTTP 요청만으로 서버의 자격증명·비밀키 등 민감 정보를 탈취할 수 있습니다. GitLab은 버전 19.3.2, 19.2.6, 19.1에서 패치를 배포했으며 즉시 적용을 촉구했고, CISA는 이 취약점을 실제 악용 목록(KEV)에 등재해 연방기관에 3일 내 패치를 의무화했습니다. Fortune 100 기업의 절반 이상이 GitLab을 사용하는 만큼 광범위한 피해가 우려되며, 민간 기업도 즉각적인 패치가 필요합니다.

사건

GitLab CE/EE의 저장소 커밋 API에서 인증 강제화 누락 및 경로 제한 미흡으로 인한 최고 심각도 경로 탐색(Path Traversal) 취약점(CVE-2026-85706)이 발견됐으며, 보안 업체 watchTowr가 인터넷상에서 무차별 탐색 시도를 관측하고 CISA가 KEV에 등재했다.

영향

인증 없는 공격자가 단일 HTTP 요청으로 자격증명·시크릿 등 민감 정보를 탈취할 수 있으며, 전 세계 3,000만 명 이상의 사용자와 Fortune 100 기업의 절반 이상이 위험에 노출된다.

원인

저장소 커밋 API에서 인증 적용이 누락되고 경로 접근 범위가 적절히 제한되지 않아 임의 파일 읽기가 가능했다.

대응

GitLab이 CE/EE 버전 19.3.2, 19.2.6, 19.1에 패치를 배포했고, CISA는 KEV 등재 후 BOD 26-04에 따라 연방기관에 3일 내 패치를 의무화했으며 민간 부문에도 즉시 조치를 권고했다.

실무 포인트

GitLab CE/EE를 운영 중이라면 즉시 패치 버전으로 업데이트해야 하며, 로그에서 '/api/v4/projects/{id}/repository/commits/' URI에 'file.path' 파라미터가 포함된 HTTP POST 요청을 검토해 이미 발생한 공격 시도를 확인해야 한다.

본문

미국 사이버보안·인프라보안청(CISA)은 해커들이 최고 심각도 GitLab 취약점을 실제 공격에 악용하고 있다고 경고했습니다.

GitLab의 DevSecOps 플랫폼은 Fortune 100 기업의 50% 이상이 사용하며, 전 세계 등록 사용자가 3,000만 명을 넘습니다.

이 보안 취약점(CVE-2026-85706)은 저장소 커밋 API의 인증 강제화 누락과 부적절한 경로 제한에서 비롯되며, 인증되지 않은 공격자가 이를 악용해 취약한 서버에서 자격증명·시크릿 등 민감 정보를 읽어낼 수 있습니다.

GitLab은 목요일에 GitLab Community Edition(CE) 및 Enterprise Edition(EE) 버전 19.3.2, 19.2.6, 19.1에서 이 문제를 수정하고 사용자들에게 즉시 패치를 적용할 것을 촉구했습니다.

회사 측이 아직 이 취약점을 '실제 악용 중'으로 표시하지 않은 상태에서, 보안 기업 watchTowr는 하루 뒤 공격자들이 CVE-2026-85706에 패치되지 않은 GitLab 서버를 인터넷에서 탐색하고 있다고 보고했습니다.

"watchTowr Intel은 최신 GitLab 경로 탐색(Path Traversal) 취약점인 CVE-2026-85706에 대한 실제 탐색 시도를 이미 관측하고 있습니다. 이 취약점은 공격자가 단 하나의 HTTP 요청으로 임의 파일을 읽을 수 있게 합니다"라고 경고했습니다.

"최근 GitLab 취약점 동향을 보면, 무차별적 악용이 시작되기까지 시간이 얼마 남지 않았을 가능성이 높습니다. [...] 방어자들은 로그 파일에서 'file.path' 파라미터가 포함된 '/api/v4/projects/{id}/repository/commits/' URI로의 HTTP POST 요청을 검색해 잠재적인 악용 시도를 식별해야 합니다."

같은 날 CISA는 이 취약점을 실제 악용 취약점 목록에 추가하고, BOD(Binding Operational Directive) 26-04에 따라 정부 기관에 3일 내 시스템 보안 조치를 의무화했습니다.

BOD 26-04는 연방기관에만 적용되지만, CISA는 민간 부문 네트워크 방어자를 포함한 모든 조직에 진행 중인 공격에 대비해 최대한 빨리 패치를 적용할 것을 권고했습니다.

"이러한 유형의 취약점은 악의적인 사이버 행위자들이 자주 활용하는 공격 경로이며, 연방 기업 환경에 심각한 위험을 초래합니다"라고 밝혔습니다. "BOD 26-04는 FCEB 기관에만 적용되지만, CISA는 모든 조직이 위험 기반의 취약점 관리를 채택하고 KEV 카탈로그 취약점 remediation(패치·조치)을 우선시할 것을 권장합니다."

1월에 GitLab은 공격자가 대상 계정의 ID를 알고 있을 경우 2단계 인증을 우회할 수 있는 고위험도 취약점도 패치한 바 있습니다.

2021년 11월부터 CISA는 CVE-2021-22175와 CVE-2021-39935를 포함해 GitLab 취약점 4건을 실제 악용 취약점으로 지정했으며, 이 중 두 건은 올해 2월에 지정됐습니다.