무슨 일이 있었나
CISA는 2026-10-29에 CVE-2026-97229를 Known Exploited Vulnerabilities 카탈로그에 추가했으며 실제 공격이 확인되었습니다. 이는 GitLab의 CI/CD 정규식 컴파일러에서 정수 오버플로로, 인증되지 않은 공격자가 임의 코드를 실행할 수 있습니다; 동일한 정규식 엔진은 며칠 후 형제 CVSS-10 RCE(CVE-2026-110264)를 생성했습니다. 취약한 경로는 GitLab 7.0부터 존재했습니다.
왜 중요한가
GitLab은 AI 소프트웨어 공급망의 상당 부분을 제어합니다 — 모델/소스 저장소, 모델을 훈련하고 배포하는 CI/CD, 점점 더 MCP 서버 통합. 여기서 확인된 실제 인증되지 않은 RCE는 공격자에게 AI 저장소 비밀, 모델 아티팩트 및 배포 자격 증명을 저장하는 바로 그 호스트에서 코드 실행을 제공합니다.
공격 경로
인증되지 않은 사용자가 특수하게 조작된 정규식(예: CI/CD 구성에서)을 제공하여 Ruby/Onigmo 정규식 컴파일러가 패턴 바이트코드를 빌드할 때 정수 오버플로를 유발합니다. 랩어라운드는 메모리를 손상시켜 입력이 매칭되기 전에 임의 코드 실행으로 이끌 수 있습니다; Regexp.timeout은 이를 보호하지 않습니다.
영향받는 시스템
GitLab CE/EE — CI/CD 구성에서 특수하게 조작된 정규식을 컴파일할 때 정수 오버플로(CVSS 10.0). 18.11/19.0/19.1/19.2/19.3/19.4/19.5용 패치 릴리스 세트에서 수정됨(예: 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13).
완화 방안
수정된 릴리스로 즉시 패치하세요(자체 관리 인스턴스만 해당; GitLab.com은 이미 수정됨). CISA는 이를 KEV에 등재했으며 연방 마감일은 2026-11-01입니다.