CISA, 최대 심각도 GitLab 취약점 실제 악용 경고

CISA, 최대 심각도 GitLab 취약점 실제 악용 경고로 패치 촉구

미국 사이버보안·인프라보안국(CISA)이 GitLab에 존재하는 최대 심각도(CVSS 10) 취약점이 이미 공격에 사용되고 있다고 경고하며, 해당 결함을 CISA ‘Known Exploited Vulnerabilities’ 목록에 추가하고 패치 적용을 요구한다.
문제 취약점은 GitLab CE·EE의 경로 조작과 접근 통제 오류로, 공격자가 악의적 요청을 통해 권한을 넘어 GitLab 서버의 파일이나 프로젝트 데이터에 접근하거나 파이프라인을 임의 사용자 권한으로 실행해 CI/CD 비밀정보를 탈취할 수 있다.
영향 범위는 8.x부터 17.x까지 광범위한 GitLab 버전으로, 다수 조직의 온프레미스 GitLab 인스턴스가 노출돼 있다. GitLab은 17.3.2, 17.2.5, 17.1.7, 16.11.6 등 보안 업데이트를 통해 취약점을 수정했고, CISA는 연방기관 및 민간 운영자에게 긴급 적용을 지시한다.
CISA는 이 취약점을 악용하는 실제 침해 사례를 확인해 2026년 9월 중 KEV 카탈로그에 추가했으며, 연방기관에는 추가 이후 통상 3주 이내에 패치 완료를 요구한다. 취약점은 CVSS 10 또는 9.9로 평가됐고, GitLab은 2024년 7월과 9월 다수 보안 정정 릴리스를 발표했다.
GitLab은 전 세계 개발·운영 환경에서 핵심 코드 저장소·배포 도구로 쓰여 공격 성공 시 소스코드 유출, 공급망 오염, 클라우드 자격증명 탈취로 이어질 수 있다. CISA의 KEV 지정은 침해가 진행 중인 고위험 취약점이라는 신호로, 각국 공공·민간 DevOps 환경의 리스크 관리 우선순위 조정이 필요하다.
한국에서도 공공·국방·핵심 인프라의 자가 호스팅 GitLab 사용 여부를 전수 조사하고, CISA가 지목한 버전과 동일·유사 취약점 노출 상태를 신속 점검해 패치·접속 통제·비밀정보 분리 저장을 의무화할 필요가 있다. 또한 KEV 기반의 국가 취약점 관리 목록을 정비해, 개발·운영 환경 취약점도 국가안보 급 위협으로 관리하는 체계로 전환해야 한다.

이번 GitLab 최대 심각도 취약점 악용은 개발·운영 도구가 곧 핵심 인프라라는 사실을 재확인시킨다. 정책 담당자는 공공·국방 시스템에서 사용하는 개발·협업 플랫폼을 별도 보호자산으로 지정해 패치 의무, 버전 관리, 비밀정보 분리 규정을 강화하고, CISA KEV와 연계된 국내 우선 패치 목록을 상시 운영해야 한다.

주요 용어: CISA(미국 사이버보안·인프라보안국, 연방기관 보안 정책·경보 발행 기관), GitLab(소프트웨어 개발용 코드 저장소·CI/CD 자동화 플랫폼)

출처: BleepingComputer