CVE-2026-97229는 GitLab CI/CD의 정규식 컴파일러에서 발생하는 정수 오버플로 취약점입니다. 공격자가 CI lint API로 인증 없이 이 취약점을 악용할 수 있고, 원격 코드 실행(RCE)으로 이어질 수 있어 매우 위험합니다.
CVE-2026-97229 취약점 개요 및 심각도
최근 GitLab CE(Community Edition) 및 EE(Enterprise Edition)의 CI/CD 정규식 컴파일러에서 정수 오버플로(integer overflow) 취약점이 발견되었습니다. 이 취약점의 식별 번호는 CVE-2026-97229이며, 심각도는 ‘Critical’로 분류되어 즉각적인 조치가 필요합니다.
가장 치명적인 점은 특정 조건에서 인증되지 않은 공격자도 이 취약점을 악용할 수 있다는 사실입니다. 외부 네트워크에 노출된 GitLab 인스턴스라면 적절한 권한 없이도 시스템 제어권을 획득하는 원격 코드 실행(RCE)으로 이어질 수 있습니다.
영향을 받는 버전 및 패치 릴리스 정보
이번 취약점은 GitLab CE 및 EE 버전 모두에 영향을 미치며, 특히 자체 관리(self-managed) 인스턴스를 운영하는 조직의 보안 운영팀은 현재 버전부터 확인해야 합니다. GitLab.com과 같은 GitLab-managed 인프라는 이번 안내 대상에서 제외되므로, 자체 서버를 구축해 운영 중인 DevOps 엔지니어의 대응이 시급합니다.
GitLab은 해당 문제를 해결하기 위해 긴급 패치 릴리스를 배포했습니다. 보안 담당자는 아래 표에서 현재 사용 중인 버전을 찾아 최신 패치 버전으로 옮기면 됩니다.
| 대상 제품 | 긴급 패치 릴리스 버전 | 심각도 |
|---|---|---|
| GitLab CE / EE | 19.4.2, 19.3.5, 19.2.8 | Critical |
해당 패치 버전들은 2026년 10월 12일에 릴리스되었습니다.
기술적 분석: Ruby 정규식 컴파일러 및 CI lint API
이 취약점의 근본적인 기술적 원인은 GitLab이 사용하는 Ruby 정규식 컴파일러의 정수 오버플로에 있습니다. 정수 오버플로는 산술 연산의 결과가 해당 데이터 타입이 저장할 수 있는 최대 범위를 초과할 때 발생하며, 메모리 손상이나 예기치 않은 동작을 일으킵니다.
공격 경로를 단계별로 짚어 보겠습니다.
- 공격 접점 식별: 공격자는 GitLab에서 제공하는 CI lint API를 공격 벡터로 삼습니다.
- 취약점 트리거: CI lint API에 특수하게 조작된 정규식 패턴을 보내 Ruby 정규식 컴파일러에서 정수 오버플로를 일으킵니다.
- 코드 실행 가능성: 발생한 오버플로를 악용해 서버에서 임의의 명령어를 실행하는 RCE 가능성이 제기되었고, 관련 익스플로잇 모듈이 공개된 상태입니다.
익스플로잇 공개 현황 및 CISA KEV 등재 의미
이 취약점의 위험성을 키우는 건 이미 구체적인 공격 방법이 공개되었다는 사실입니다.
첫째, Rapid7이 유지보수하는 Metasploit Framework에 CI lint API를 경유해 GitLab RCE를 수행하는 익스플로잇 모듈을 추가하는 Pull Request #22017이 공개된 상태입니다. 전문적인 해킹 도구로 공격이 자동화됐다는 뜻입니다. 패치되지 않은 인스턴스는 순식간에 공격 대상이 될 수 있습니다.
둘째, 이 취약점은 미국 사이버 보안 및 인프라 보안국(CISA)의 KEV(Known Exploited Vulnerabilities, 알려진 악용 취약점) 목록에 추가되었습니다. CISA KEV 등재는 해당 취약점이 단순히 이론적인 가능성을 넘어 실제 야생(in-the-wild)에서 악용되고 있다는 강력한 지표입니다. 보안 운영팀은 이를 단순한 업데이트가 아닌 ‘긴급 보안 사고 대응’ 수준으로 취급하는 게 맞습니다.
대응 방안 및 긴급 업데이트 권고
자체 관리 GitLab 인스턴스를 운영하는 보안 팀과 DevOps 엔지니어라면 아래 절차대로 바로 움직이는 것이 좋습니다.
- 버전 확인 및 즉시 업데이트: 현재 설치된 GitLab 버전을 확인한 뒤, 19.4.2, 19.3.5, 19.2.8 중 해당되는 최신 패치 버전으로 곧바로 업데이트하세요.
이번 CVE-2026-97229는 인증 없는 RCE가 가능하고 이미 익스플로잇 도구가 공개되었으며 CISA KEV에 등재된 만큼, 패치 지연으로 인한 리스크가 매우 큽니다. 관리자는 가능한 한 빨리 업데이트를 마쳐 인프라 보안을 확보하시기 바랍니다.