GitLab에서 최고 심각도(CVSS 10.0)의 취약점(CVE-2026-85706)이 발견됐으며, 공개 후 불과 몇 시간 만에 실제 공격 시도가 포착됐습니다. 이 취약점은 인증 없이도 GitLab 서버의 파일을 마음대로 읽을 수 있는 경로 탐색(Path Traversal, 허용된 경로 밖의 파일에 접근하는 공격) 결함으로, 공개 프로젝트가 단 하나만 있어도 악용이 가능합니다. 공격에 성공하면 소스 코드, 인증 정보, CI/CD(자동 빌드·배포 시스템) 시크릿 탈취는 물론 빌드 파이프라인에 악성 코드를 심는 공급망 공격으로도 이어질 수 있습니다. GitLab CE/EE 버전 19.3.2, 19.2.6, 19.1.8에 패치가 제공됐으며, 인터넷에 노출된 자체 운영 인스턴스는 즉시 업데이트가 필요합니다.
GitLab CE/EE 리포지터리 커밋 API에서 CVSS 10.0 경로 탐색 취약점(CVE-2026-85706)이 공개됐으며, 공개 후 6시간 만에 실제 공격 시도가 확인됐다. 아울러 GitLab EE에서 CVSS 9.9의 안전하지 않은 역직렬화 취약점(CVE-2026-87719)도 함께 패치됐다.
인증 없이 GitLab 서버의 로그 파일·설정 파일·자격증명·시크릿을 탈취할 수 있다. CI/CD 파이프라인에 악성 코드를 삽입해 소프트웨어 공급망 전체를 오염시킬 수 있다.
CVE-2026-85706은 리포지터리 커밋 API에서 경로 제한 미흡 및 인증 적용 누락이 원인이다. CVE-2026-87719은 GitLab EE의 GraphQL 구독 인수 처리 과정에서 역직렬화가 안전하게 처리되지 않아 서버 객체 조회가 가능하다.
GitLab은 버전 19.3.2, 19.2.6, 19.1.8에 패치를 배포했다. 인터넷에 노출된 자체 운영 인스턴스는 즉시 업데이트하거나, 불필요한 경우 외부 공개 접근을 제한해야 한다.
'/api/v4/projects/{id}/repository/commits/' URI에 'file.Path' 파라미터가 포함된 HTTP POST 요청 로그를 검토해 침해 여부를 확인할 것. 대규모 무차별 악용으로의 전환이 임박했다는 점에서 패치 적용 우선순위를 최상으로 설정해야 한다.
본문
Ravie Lakshmanan 2026년 9월 11일 | 취약점 / 웹 보안
GitLab이 최고 심각도 보안 취약점을 포함한 여러 결함을 수정하는 패치를 배포했습니다. 해당 취약점은 공개 직후 수 시간 만에 실제 공격 시도가 포착됐습니다.
문제의 취약점은 CVE-2026-85706(CVSS 점수: 10.0)으로, 리포지터리 커밋 API의 경로 탐색(Path Traversal) 취약점입니다. 특정 조건에서 인증되지 않은 사용자가 GitLab 서버의 임의 파일을 읽을 수 있습니다.
GitLab에 따르면, 이 문제는 "리포지터리 커밋 API에서 경로 제한 미흡 및 인증 적용 누락"에서 비롯됩니다.
해당 취약점은 다음 버전의 GitLab Community Edition(CE) 및 Enterprise Edition(EE)에 영향을 미칩니다.
- 18.7 이상 19.1.8 미만 모든 버전
- 19.2 이상 19.2.6 미만 모든 버전
- 19.3 이상 19.3.2 미만 모든 버전
선제적 노출 관리 기업 watchTowr에 따르면, 이 취약점은 2026년 9월 11일 06:00 UTC부터 이미 실제 공격 시도가 포착되고 있습니다. watchTowr는 외부 공격자가 로그 파일과 GitLab 설정 파일을 읽어 자격증명, 시크릿, 민감한 정보를 탈취할 수 있다고 밝혔습니다.
watchTowr의 위협 인텔리전스 책임자 Jake Knott는 The Hacker News에 전달한 성명에서 "이번 사건은 최근 몇 주 사이 두 번째로 발생한 GitLab 심각도 취약점 사례입니다. 앞서 발생한 GraphQL 코드 인젝션(CVE-2026-19478)은 공개 즉시 적극적으로 악용된 바 있습니다"라고 말했습니다. 또한 "악용을 위한 조건은 단 하나, 공개 프로젝트가 최소 하나 이상 존재하면 됩니다"라고 덧붙였습니다.
"공격자들에게 GitLab이 매력적인 이유는 명확합니다. 무단 접근이 이루어지면 소스 코드, CI/CD 시크릿, 자격증명을 탈취하고, 빌드 파이프라인에 코드를 삽입해 하위 스트림 전체에 대한 접근 및 오염이 가능하기 때문입니다. 이는 올해 내내 공격자들이 즐겨 사용해 온 수법임이 확인되고 있습니다."
GitLab은 버전 19.3.2, 19.2.6, 19.1.8에서 GitLab EE의 안전하지 않은 역직렬화 버그(CVE-2026-87719, CVSS 점수: 9.9)도 함께 패치했습니다. 이 취약점은 정보 유출로 이어질 수 있습니다.
GitLab은 "Duo Chat 접근 권한이 있는 인증된 사용자가 특수하게 조작된 GraphQL 구독 인수를 이용해 직렬화를 우회하고 서버 객체 조회를 수행함으로써 Advanced Search 인스턴스 설정 및 민감한 자격증명을 탈취할 수 있는 취약점"이라고 설명했습니다.
인터넷에 노출된 자체 운영 GitLab 인스턴스를 운영하는 조직은 가능한 한 빨리 패치를 적용하거나, 불필요한 경우 외부 공개 접근을 제한해야 합니다.
Knott는 "이 취약점이 무차별적인 대규모 악용으로 전환되는 시점은 그리 멀지 않았으며, 방어자에게 주어진 시간은 제한적입니다"라고 경고했습니다. "가능하다면 조직은 'file.Path' 파라미터가 포함된 '/api/v4/projects/{id}/repository/commits/' URI에 대한 HTTP POST 요청 로그를 검토해 잠재적인 악용 시도를 파악해야 합니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
