techlist.io
KREN
gitlab

GitLab 패치 릴리스: 19.0.1, 18.11.4, 18.10.7 | GitLab Docs (새 탭에서 열림)

gitlabci-cdgraphqlelasticsearchrubyhelmzlibgitlab-shell

2026년 5월 27일 GitLab은 CE/EE용 패치 릴리스 19.0.1, 18.11.4, 18.10.7을 공개했습니다. 이번 릴리스에는 인증·인가 오류, 정보 노출, 서비스 거부 등 7건의 보안 취약점과 다양한 버그 수정이 포함되어 있어, 영향을 받는 모든 자체 관리형 설치 환경은 즉시 업그레이드하는 것이 권고됩니다. GitLab.com은 이미 패치가 적용됐으며 GitLab Dedicated 고객은 별도 조치가 필요하지 않습니다.

릴리스 대상과 업그레이드 권고

  • 대상 버전:
    • GitLab 19.0.1
    • GitLab 18.11.4
    • GitLab 18.10.7
  • CE와 EE 모두에 해당하는 수정이 있으며, 별도 배포 유형이 명시되지 않은 경우 Omnibus, 소스 설치, Helm Chart 등 모든 설치 방식에 영향을 줍니다.
  • GitLab 패치 릴리스는 일반적으로 매월 둘째·넷째 수요일에 제공되며, 심각한 취약점에는 긴급 패치가 별도로 배포될 수 있습니다.
  • 보안 취약점의 상세 이슈는 패치된 릴리스가 공개된 뒤 30일 후 이슈 트래커에 공개됩니다.

Duo AI 워크플로 실행 주체 혼동

  • CVE-2026-4868
  • GitLab EE에 영향을 주는 부적절한 접근 제어 취약점입니다.
  • 인증된 사용자가 특정 조건에서 다른 사용자의 신원으로 Duo AI 워크플로를 실행하도록 만들 수 있었습니다.
  • CVSS 8.2로 이번 릴리스에서 가장 심각한 취약점입니다.
  • 수정 대상:
    • 18.8 이상 18.10.7 미만
    • 18.11 이상 18.11.4 미만
    • 19.0 이상 19.0.1 미만

Wiki 입력 검증 부족에 따른 서비스 거부

  • CVE-2026-1402
  • GitLab CE/EE의 Wiki 기능에서 입력값 검증이 충분하지 않아, 인증된 사용자가 특정 조건에서 서비스 거부를 유발할 수 있었습니다.
  • CVSS 6.5입니다.
  • 17.1부터 18.10.7 미만, 18.11.4 미만, 19.0.1 미만 버전이 영향을 받습니다.

GraphQL WorkItem API의 비인가 프로젝트 열람

  • CVE-2026-6713
  • GraphQL WorkItem API의 권한 검사가 잘못되어, 인증되지 않은 사용자가 비공개 프로젝트를 열거할 수 있었습니다.
  • 프로젝트 내용 전체가 노출된다는 의미는 아니지만, 비공개 프로젝트의 존재나 식별 정보가 노출될 수 있는 문제입니다.
  • CVSS 5.3이며 GitLab CE/EE에 영향을 줍니다.
  • 수정 버전은 18.10.7, 18.11.4, 19.0.1입니다.

Duo Workflows 및 Operations 권한 우회

  • CVE-2026-5296
    • GitLab EE의 Duo Workflows API 취약점입니다.
    • 그룹 수준에서 foundational flow가 활성화된 경우, Developer 권한 사용자가 특정 조건에서 워크플로 제한을 우회할 수 있었습니다.
    • CVSS 4.3입니다.
  • CVE-2026-2601
    • GitLab EE Operations 기능의 권한 검사 오류입니다.
    • Developer 권한 사용자가 다른 프로젝트의 민감한 배포 데이터를 볼 수 있었습니다.
    • CVSS 4.3입니다.
  • 두 취약점 모두 18.10.7, 18.11.4, 19.0.1에서 수정되었습니다.

CI/CD 및 토큰 인증 관련 취약점

  • CVE-2026-8716
    • Pipelines에서 ref 유형 이름을 잘못 해석해, 인증된 사용자가 의도하지 않은 다른 ref의 CI 데이터를 볼 수 있었습니다.
    • GitLab CE/EE에 영향을 주며 CVSS는 4.3입니다.
  • CVE-2026-2710
    • 차단된 Project Access Token이 특정 인증 엔드포인트를 통해 계속 비공개 리소스에 접근할 수 있었습니다.
    • GitLab CE/EE에 영향을 주며 CVSS는 4.3입니다.
  • 두 취약점 모두 18.10.7, 18.11.4, 19.0.1에서 해결되었습니다.

19.0.1의 주요 버그 수정

  • GitLab Credits 대시보드의 평가판 CTA 오류를 수정했습니다.
  • 작업 토큰의 세분화된 권한에 저장소 쓰기 권한 옵션을 추가했습니다.
  • Helm 기반 릴리스 환경 QA를 제거했습니다.
  • API 보안 수정 지침을 릴리스 노트에 반영했습니다.
  • 19.0 최종 릴리스 관련 변경 사항을 백포트했습니다.

18.11.4의 주요 버그 수정

  • Ruby 스레드 스케줄러 우선순위 패치를 적용했습니다.
  • Elasticsearch 인덱서 버전을 5.14.7로 업데이트했습니다.
  • Zlib를 3.2.3으로 업데이트하고 GitLab Shell을 14.50.0으로 올렸습니다.
  • Wiki 페이지 이동 시 댓글이 사라지는 문제를 수정했습니다.
  • 성공한 빌드가 삭제되는 문제와 SyncPolicyWorker 타임아웃 문제를 해결했습니다.
  • CI/CD 프로젝트 생성 테스트, Epic 보드, swimlane 등 불안정한 기능과 테스트를 수정했습니다.
  • AI Workflows 범위와 subgroup 프로비저닝 서비스 계정 관련 기능을 보완했습니다.
  • 파이프라인 취소 및 trace 처리, 다이어그램 프록시의 허용 엔드포인트 전달을 개선했습니다.
  • 고급 검색 대량 인덱싱에서 기본 데이터베이스 연결을 사용하도록 수정했습니다.
  • 라이선스 승인 규칙 워크플로의 성능을 개선했습니다.
  • num_context_lines=0일 때 발생하던 off-by-one 오류를 수정했습니다.

실용적인 권장 사항

자체 관리형 GitLab 운영자는 현재 지원 중인 브랜치에 맞춰 즉시 19.0.1, 18.11.4 또는 18.10.7로 업그레이드하는 것이 좋습니다. 특히 Duo AI/Workflows, GraphQL WorkItem, Wiki, CI/CD, Project Access Token, Operations 기능을 사용하는 환경은 업그레이드 전까지 권한과 비공개 데이터 접근 로그를 점검해야 합니다.