CVE-2026-19410은 Google Cloud Build의 GitHub 트리거 코멘트 제어(GitHub Trigger Comment Control) 기능에서 발생한 권한 검증 우회 취약점으로, 원격 공격자가 웹후크 억제(webhook suppression) 방식으로 빌드 환경에서 검토되지 않은 코드를 실행할 수 있게 합니다. 이 취약점은 2026년 6월 24일 이전 버전의 Google Cloud Build에 영향을 미칩니다.
CVE-2026-19410 취약점의 기술적 개요
CVE-2026-19410은 MITRE CVE Record에 ‘Incorrect Authorization’ 유형으로 기록된 취약점입니다. 공식 CNA(CVE Numbering Authority)는 Google Cloud이며, 2026년 8월 10일에 예약되어 8월 31일에 공개되었습니다.
이 취약점의 핵심은 Google Cloud Build가 GitHub 트리거의 코멘트 제어 기능을 처리하는 과정에서 권한 검증을 제대로 수행하지 못한다는 데 있습니다. ‘Google Cloud Build Comment Control Bypass via Webhook Suppression’이라는 제목이 말해 주듯, 웹후크 억제 메커니즘을 이용한 우회가 가능합니다.
공식 약점 분류 및 영향
이 취약점은 단순한 권한 오류를 넘어 다음과 같은 세부적인 소프트웨어 약점 및 공격 패턴으로 분류됩니다.
- CWE-367 (Time-of-check time-of-use race condition): 검사 시점과 사용 시점의 차이를 이용하는 TOCTOU 레이스 컨디션 약점입니다.
- CWE-345 (Insufficient Verification of Data Authenticity): 데이터의 진위성 검증이 불충분해 공격자가 조작한 데이터를 그대로 신뢰하게 되는 위험이 있습니다.
- CAPEC-1 (Accessing Functionality Not Properly Constrained by ACLs): 액세스 제어 목록(ACL)이 제대로 제한하지 않은 기능에 접근하는 공격 패턴입니다.
공격 경로 및 무인가 코드 실행 원리
취약점을 악용하는 쪽은 원격 공격자(remote attacker)입니다. 공격자는 웹후크 억제(webhook suppression) 수단으로 빌드 파이프라인의 정상적인 제어 흐름을 방해하거나 우회합니다.
정상적인 GitHub 트리거 코멘트 제어 환경이라면 특정 권한을 가진 사용자의 승인이나 검토를 거친 코드만 빌드 환경으로 넘어가야 합니다. 그러나 CVE-2026-19410 취약점이 존재하는 환경에서는 웹후크 억제 기법으로 이 검증 단계를 그냥 건너뛸 수 있습니다. 그 결과 코드 리뷰 프로세스를 거치지 않은 무인가 코드(unreviewed code)가 Google Cloud Build의 빌드 환경에서 직접 실행되는 심각한 보안 사고로 이어질 수 있습니다.
심각도 분석: CVSS 4.0 기준
이번 취약점은 CVSS 4.0 기준으로 9.4점의 ‘CRITICAL(치명적)’ 등급을 부여받았습니다. 빌드 파이프라인의 무결성을 완전히 파괴할 수 있는 수준의 심각도입니다.
공격 벡터 상세 분석
CVSS 벡터 문자열 CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/U:Clear로 짚어 본 공격 조건은 다음과 같습니다.
- 공격 경로 (Attack Vector): 네트워크(NETWORK). 원격에서 공격이 가능합니다.
- 공격 복잡성 (Attack Complexity): 낮음(LOW). 공격에 별다른 조건 설정이 필요하지 않습니다.
- 권한 요구 사항 (Privileges Required): 낮음(LOW). 완전한 관리자 권한이 아니어도 낮은 수준의 권한이면 공격을 시도할 수 있습니다.
- 사용자 상호작용 (User Interaction): 수동적(PASSIVE). 사용자의 직접적인 개입이 필요하긴 하지만, 공격자가 유도하는 흐름에 수동적으로 반응하는 수준으로 충분합니다.
- 영향도 (Impact): 기밀성, 무결성, 가용성 모든 측면에서 높은(HIGH) 영향을 미칩니다. 빌드 환경에만 머무르지 않고 시스템 전반으로 확산될 수 있다는 뜻입니다.
영향 버전 및 패치 타임라인
CVE-2026-19410의 영향 범위는 날짜 기준으로 정의됩니다. Google Cloud Platform에서 운영되는 Google Cloud Build 중 2026년 6월 24일 이전 버전이 해당됩니다.
취약점의 발견부터 공지까지의 타임라인은 다음과 같습니다.
| 구분 | 날짜 | 내용 |
|---|---|---|
| 패치 적용일 | 2026-06-24 | 취약점 수정 패치 완료 |
| CVE 예약일 | 2026-08-10 | MITRE CVE Record 예약 |
| 공식 공지일 | 2026-08-24 | Cloud Build 릴리스 노트 내 Security 항목 등재 |
| CVE 게시일 | 2026-08-31 | MITRE 공식 레코드 공개 |
보안 책임자를 위한 대응 지침
Google Cloud는 이 취약점의 패치를 2026년 6월 24일에 완료했습니다. Google Cloud Build는 매니지드 서비스 형태로 제공되기 때문에 인프라 수준의 패치는 자동으로 적용됩니다.
고객 조치 사항
Google Cloud Build 공식 릴리스 노트의 수정 안내문에는 이 취약점과 관련해 “고객의 별도 조치는 필요하지 않음(No customer action is needed)”이라고 명시되어 있습니다.
추가 점검 권고
비록 직접적인 패치 조치는 불필요하지만, 보안 책임자는 다음 관점에서 빌드 파이프라인의 안전성을 재검토해 볼 필요가 있습니다.
- 빌드 이력 감사: 패치 적용 이전 시점에 비정상적인 웹후크 호출이나 승인되지 않은 코드가 빌드 환경에서 실행된 흔적이 있는지 로그를 살펴보십시오.
- 트리거 권한 재점검: GitHub 트리거 코멘트 제어 기능 외에도, 트리거를 생성하고 수정할 수 있는 IAM 권한이 최소 권한 원칙(Principle of Least Privilege)에 따라 설정되어 있는지 확인하십시오.
- CISA ADP 평가 참고: CISA ADP의 악용 평가(Exploitation) 결과는 ‘none’으로 기록되어 있으며, 자동화 가능성 또한 ‘no’로 평가되었습니다. 다만 기술적 영향(Technical Impact)은 ‘total’로 평가된 만큼, 잠재적 위험성을 인지하고 상시 모니터링 체계를 갖춰 두는 편이 안전합니다.