회사 ‘코드 창고’가 로그인 없이 열릴 수 있었다? 위험도 만점 깃랩(GitLab) 취약점 CVE-2026-110264로 본 12년치 버전 영향, 우리 회사 해당 여부 30초 진단과 올려야 할 버전표를 초보도 쉽게

회사에서 개발팀이 “코드는 깃랩(GitLab)에 올려 두세요”라고 말하는 걸 들어 본 적 있나요? 깃랩은 프로그램 코드를 보관하고, 여러 사람이 함께 고치고, 완성된 코드를 자동으로 서버에 배포까지 해 주는 ‘회사 코드 창고 + 자동 공장’ 같은 서비스예요. 많은 회사·학교·공공기관이 이걸 자기 서버에 직접 설치해서 써요.

그런데 깃랩이 10월 21일(미국 현지 기준) 위험도 만점(CVSS 10.0)짜리 보안 구멍 CVE-2026-110264를 긴급 패치했어요. 로그인 없이도 외부 공격자가 깃랩 서버에서 마음대로 명령을 실행할 수 있는 종류이고, 무려 2014년에 나온 7.0 버전부터 지금까지 약 12년치 버전이 모두 해당돼요. 한국인터넷진흥원(KISA)도 22일 국내 기업·기관에 업데이트를 권고했죠. 오늘은 이게 무슨 뜻인지, 누가 무엇을 하면 되는지를 초보 눈높이로 정리해 볼게요.

한눈에 보는 요약

먼저, 깃랩은 뭐 하는 곳일까

출판사의 원고 보관실을 떠올리면 쉬워요. 작가(개발자)들이 원고(코드)를 맡기고, 편집자(동료)가 빨간 펜으로 검토(머지 요청)하고, 완성되면 인쇄소(서버)로 자동으로 보내는 컨베이어 벨트(CI/CD)까지 한 건물에 있는 거예요. 그래서 깃랩 서버 한 대에는 보통 아래 같은 회사의 핵심 자산이 모여 있어요.

CVSS 10.0, 로그인 없이 원격 코드 실행이 뭐예요?

보안 뉴스에서 자주 보는 단어들을 하나씩 풀어 볼게요.

CVSS 점수표(벡터)를 보면 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H예요. 어렵게 보이지만 풀면 “인터넷으로(N), 쉽게(L), 권한 없이(N), 사용자가 아무것도 안 눌러도(N), 다른 영역까지 번지며(C), 정보 유출·변조·마비 모두 심각(H)”이라는 뜻이에요. 거의 모든 칸이 ‘최악’인 셈이죠.

왜 하필 ‘12년치 전부’일까

깃랩은 루비(Ruby)라는 프로그래밍 언어로 만들어졌고, 루비에는 정규식을 처리하는 엔진 오니그모(Onigmo)가 기본으로 들어 있어요. 깃랩은 이 엔진을 자기 설치 패키지 안에 함께 넣어 배포하고, 직접 패치해 왔죠. 그러니 엔진의 약점은 엔진이 들어간 모든 버전, 즉 7.0(2014년)부터 지금까지 전부에 남아 있었던 거예요. 자동차로 치면 12년 동안 모든 모델에 같은 부품을 써 왔는데 그 부품에서 결함이 나온 ‘리콜’과 비슷해요.

재미있는(?) 점은 이 네 개가 모두 같은 연구자(joaxcar)가 한 달 사이 버그 바운티(보안 구멍 신고 포상 제도)로 찾아낸 정규식 엔진 결함이라는 거예요. 앞의 세 개는 19.2 이후 버전에만 해당됐지만, 이번 건은 처음으로 그 이전 버전까지 거슬러 올라가요. 깃랩은 “특정 조건에서” 공격이 가능하다고만 했고, 그 조건이 뭔지는 아직 공개하지 않았어요. 그래서 “우리 설정은 괜찮을 거야”라고 스스로 판단할 수 없고, 업데이트만이 확실한 해결책이에요.

우리 회사는 해당될까? 30초 자가 진단

내 버전 확인하고, 이 버전으로 올리세요

깃랩은 원래 최신 버전과 직전 두 달치(지금은 19.5·19.4·19.3)만 보안 패치를 해 줘요. 그런데 이번엔 사안이 심각해서 19.2·19.1·19.0·18.11까지 특별히 고쳐 줬어요. 그만큼 급하다는 신호예요.

관리자를 위한 업데이트 순서 (쉬운 버전)

이 규칙은 깃랩의 오픈소스 탐지 모음(TLDR)에 시그마(Sigma) 형식으로 들어 있어요. 다만 이스트시큐리티 설명처럼 공격이 성공했다면 프로세스가 안 죽을 수도 있어서, 로그가 깨끗하다고 “공격이 없었다”고 단정할 수는 없어요. 의심되면 배포용 토큰·비밀값을 새로 발급(교체)하는 것까지 고려하세요.

같이 고쳐진 다른 구멍들

이번 패치에는 10점짜리 말고도 11개의 보안 수정이 함께 들어 있어요(높음 2, 보통 5, 낮음 4). 주의할 점은 10점짜리를 뺀 나머지는 19.3.6·19.4.3·19.5.1에서만 고쳐졌다는 거예요. 19.2 이하 백포트 버전을 쓰면 이 구멍들은 남아 있어요.

이번 일, 한 걸음 물러서서 보면

자주 묻는 질문

마무리: 코드 창고 문, 오늘 다시 잠그기

이번 깃랩 사건을 한 줄로 줄이면 “12년 동안 같은 자물쇠 부품을 썼는데, 그 부품에 열쇠 없이 열리는 결함이 있었다”예요. 다행히 아직 실제 공격은 확인되지 않았고, 고친 버전도 나와 있어요. ① 우리 깃랩이 직접 설치형인지 확인 → ② 버전 숫자 확인 → ③ 표의 버전 이상으로 업데이트, 이 세 단계면 충분해요. 개발자가 아니라면 IT팀에 한 줄 물어보는 것만으로도 회사의 코드 창고를 지키는 데 힘을 보탤 수 있어요. 🔐