GitLab 보안 패치 릴리즈 19.2.2, 19.1.4, 19.0.6

안녕하세요 인포그랩입니다. 2026년 8월 12일, GitLab Community Edition(CE)과 Enterprise Edition(EE)에 대해 19.2.2, 19.1.4, 19.0.6 버전이 출시되었습니다. 이 버전들은 13건의 보안 수정 사항을 포함하고 있으므로, 모든 셀프 관리형 GitLab 인스턴스는 즉시 이 중 하나의 버전으로 업그레이드하시길 강력히 권장합니다. GitLab.com은 이미 보안 패치가 적용된 버전을 사용 중이며, GitLab Dedicated 고객은 별도의 조치가 필요하지 않습니다. GitLab은 패치 릴리즈를 통해 취약점에 대한 수정사항을 제공합니다. 패치 릴리즈는 정기 릴리즈와 심각도가 높은 취약점에 대한 긴급 릴리즈, 이렇게 두 가지 유형이 있습니다. 정기 릴리즈는 매월 둘째, 넷째 수요일에 배포됩니다. 자세한 내용은 릴리즈 핸드북과 보안 FAQ에서 확인하실 수 있습니다. 모든 GitLab 릴리즈 블로그 게시글은 여기에서 볼 수 있습니다.

보안 수정 사항의 경우, 각 취약점에 대한 상세 이슈는 패치가 적용된 릴리즈 이후 90일이 지나면 이슈 트래커를 통해 공개됩니다. GitLab은 고객에게 노출되거나 고객 데이터를 저장하는 모든 측면이 최고 수준의 보안 기준을 충족하도록 최선을 다하고 있습니다. 보안 수준을 유지하기 위해, 모든 고객이 지원되는 최신 패치 릴리즈로 업그레이드하는 것을 강력히 권장합니다. 관련 내용은 GitLab 인스턴스 보안 모범 사례 블로그 게시글에서 확인하실 수 있습니다.

권장 조치

---

아래 설명된 문제의 영향을 받는 버전을 실행 중인 모든 설치를 가능한 한 빨리 최신 버전으로 업그레이드할 것을 강력히 권장합니다. 취약점 설명에 Omnibus, 소스 코드, Helm 차트 등 특정 배포 유형이 명시되지 않으면 모든 설치 유형에 영향을 줍니다.

보안 취약점

---

이번 릴리즈에서 수정된 보안 취약점 목록입니다. (총 13건)

CVE-2026-15217 — 애널리틱스 대시보드 테이블 필드 설정 XSS (GitLab CE/EE)

특정 조건에서 애널리틱스 대시보드 컴포넌트가 테이블 셀 콘텐츠에 렌더링하는 사용자 제어 값에 대한 부적절한 무력화(neutralization)로 인해, 크로스 사이트 스크립팅이 발생할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-15217
• 영향 버전 (GitLab CE/EE): 18.2 이상 19.0.6 미만, 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 8.7 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 yvvdwf 님이 제보

CVE-2026-15216 — 애널리틱스 대시보드 페이지네이션 컨트롤 XSS (GitLab CE/EE)

특정 조건에서 애널리틱스 대시보드 컴포넌트가 페이지네이션 컨트롤에 렌더링하는 사용자 제어 데이터에 대한 부적절한 무력화로 인해, 크로스 사이트 스크립팅이 발생할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-15216
• 영향 버전 (GitLab CE/EE): 18.2 이상 19.0.6 미만, 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 8.7 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 yvvdwf 님이 제보

CVE-2026-15423 — CI/CD 파이프라인 API 부적절한 인가 (GitLab CE/EE)

특정 조건에서 파이프라인 레퍼런스 검증의 부적절한 인가로 인해, Developer 역할 권한을 가진 인증된 사용자가 필요한 푸시 권한 없이 보호된 브랜치에서 CI/CD 파이프라인을 실행할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-15423
• 영향 버전 (GitLab CE/EE): 19.0 이상 19.0.6 미만, 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 8.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 sim4n6 님이 제보

CVE-2026-19228 — Duo Workflow Service 인가 우회 (GitLab EE)

특정 조건에서 요청에 포함된 식별 정보에 대한 부적절한 인가로 인해, 인증된 사용자가 AI 사용량을 다른 네임스페이스에 귀속시킬 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-19228
• 영향 버전 (GitLab EE): 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 8.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:L)
• 제보: GitLab 팀원 Dennis Appelt 님이 내부에서 발견

CVE-2026-16627 — CI 수동 작업 확인 모달 XSS (GitLab CE/EE)

특정 조건에서 CI 작업 모달에 렌더링되는 HTML 콘텐츠에 대한 부적절한 정제(sanitization)로 인해, Developer 역할 권한을 가진 인증된 사용자가 권한을 상승시킬 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-16627
• 영향 버전 (GitLab CE/EE): 19.2 이상 19.2.2 미만
• CVSS: 7.7 (CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 3nvz 님이 제보

CVE-2026-16494 — ProjectsController 인가 누락 (GitLab EE)

특정 조건에서 프로젝트 업데이트 엔드포인트의 인가 검사 누락으로 인해, 인증된 사용자가 상위 권한 역할에만 허용된 프로젝트 설정을 수정할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-16494
• 영향 버전 (GitLab EE): 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 7.1 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L)
• 제보: HackerOne 버그 바운티 프로그램을 통해 3nvz 님이 제보

CVE-2026-7427 — GraphQL API JSON 파서 서비스 거부(DoS) (GitLab CE/EE)

특정 조건에서 부적절한 입력값 검증으로 인해, 인증되지 않은 사용자가 서비스 거부를 유발할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-7427
• 영향 버전 (GitLab CE/EE): 18.5 이상 19.0.6 미만, 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 5.3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)
• 제보: HackerOne 버그 바운티 프로그램을 통해 aphantom 님이 제보

CVE-2026-6821 — 병합 요청 API 인가 누락 (GitLab EE)

특정 조건에서 병합 요청 API 엔드포인트의 인가 검사 누락으로 인해, 인증된 사용자가 IP 기반 접근 제한을 우회해 비공개 프로젝트의 제한된 병합 요청 정보를 조회할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-6821
• 영향 버전 (GitLab EE): 12.0 이상 19.0.6 미만, 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 rogerace 님이 제보

CVE-2026-4879 — 외부 상태 검사 API 인가 누락 (GitLab EE)

특정 조건에서 병합 요청 API 엔드포인트의 인가 누락으로 인해, Developer 역할 권한을 가진 인증된 사용자가 상위 권한 역할에만 허용된 외부 상태 검사 설정을 조회할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-4879
• 영향 버전 (GitLab EE): 16.0 이상 19.0.6 미만, 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 jaykp 님이 제보

CVE-2026-8667 — npm dist-tags 엔드포인트 잘못된 인가 (GitLab CE/EE)

특정 조건에서 부적절한 인가 검사로 인해, Developer 역할을 가진 인증된 사용자가 Maintainer 수준 권한 없이 일부 패키지 레지스트리 메타데이터를 수정할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-8667
• 영향 버전 (GitLab CE/EE): 17.6 이상 19.0.6 미만, 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 peppersghost 님이 제보

CVE-2026-18244 — GitLab Duo 설정 페이지 인가 누락 (GitLab EE)

특정 조건에서 그룹 설정 페이지의 부적절한 인가 검사로 인해, 인증된 사용자가 제한된 구성 설정을 조회할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-18244
• 영향 버전 (GitLab EE): 17.7 이상 19.0.6 미만, 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
• 제보: GitLab 팀원 Félix Veillette-Potvin 님이 내부에서 발견

CVE-2026-18433 — AI Tool Rules GraphQL 리졸버 잘못된 인가 (GitLab EE)

특정 조건에서 GraphQL 쿼리의 잘못된 인가 검사로 인해, 인증된 사용자가 접근 권한이 없는 네임스페이스의 정책 구성을 조회할 수 있었던 문제를 수정했습니다.

• CVE: CVE-2026-18433
• 영향 버전 (GitLab EE): 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 anshuman_bh 님이 제보

CVE-2025-9486 — 커스텀 역할 잘못된 권한 할당 (GitLab EE)

특정 조건에서 멤버십 상태를 고려하지 않은 잘못된 권한 할당으로 인해, 멤버십이 대기(pending) 상태인 사용자가 커스텀 역할로 부여되는 권한을 받을 수 있었던 문제를 수정했습니다.

• CVE: CVE-2025-9486
• 영향 버전 (GitLab EE): 15.6 이상 19.0.6 미만, 19.1 이상 19.1.4 미만, 19.2 이상 19.2.2 미만
• CVSS: 3.3 (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:N)
• 제보: HackerOne 버그 바운티 프로그램을 통해 mateuszek 님이 제보

버그 수정

---

19.2.2

• 의존성 봇 MR로 resolve-dependency-bump 버튼 제한 기능 19.2 백포트
• 현재 노드에서 sync_object_storage가 비활성화된 경우 Geo 로그 커서의 EventWorker 큐 등록 건너뛰기 백포트
• web_hook_logs_daily 샤딩 키 제약 조건 검증 중단 (19.2 백포트)
• 프로젝트 설정 편집 페이지에 agent_artifacts_page 플래그 전달 백포트
• Workhorse MCP 클라이언트 요청을 API JWT로 서명 백포트
• tool_access_policies 클레임에서 Orbit MCP 도구 사전 승인 백포트
• 콘텐츠 탭 내 헤더 제거
• 토큰 클레임에서 GitLab MCP 서버 읽기 도구 사전 승인 백포트
• Siphon 사용자 설정 rake 태스크 백포트
• securityReportFindings 커서가 빈 문자열일 때 발생하던 500 오류 수정 19.2 백포트
• 이슈 보드에서 작업 항목 드로어의 전체 페이지로 열기 기능 수정 (19.2 백포트)
• 병합 요청 파이프라인 실패 시 의존성 범프 해결 트리거 기능 19.2 백포트
• knowledge_graph에 대한 Orbit 설정 별칭 추가 백포트
• 대규모 파이프라인에서 발생하던 파이프라인 테스트 리포트 타임아웃 수정 (!247590 19.2 백포트)
• ClickHouse에 traversal_path sbom_component_versions 추가 19.2 백포트
• 재동기화 시 Geo 검증 재시도 필드 보존 백포트
• Ci::JobDefinition 설정 크기 제한을 구성 가능하도록 변경 - 작업 설정이 1MiB를 초과할 때 파이프라인이 실패하던 문제 수정 (!241962 19.2 백포트)
• Codex Agent가 지원 종료된 gpt-5.1-codex 대신 gpt-5.3-codex를 사용하도록 수정 백포트
• blob 뷰어 청크 간 복사 시 콘텐츠가 중복되던 문제 수정 백포트
• Geo: 컨테이너 레지스트리 대상 재검증 태스크 추가 백포트
• 19.2: Geo 검증 상태 테이블 2개에서 project_id 외래 키 제거
• Siphon ClickHouse 정리 Rake 태스크 추가 백포트
• 19.2: CI에서 gitlab.com 자격 증명 헬퍼를 gitlab.com에만 설정
• jemalloc 5.3.0으로 되돌리기 (19-2-stable 백포트)

19.1.4

• 토큰 클레임에서 GitLab MCP 서버 읽기 도구 사전 승인 백포트
• 릴리즈 노트 CI 작업 수정 - MR 파이프라인만 실행 19.1 백포트
• 인덱스 무결성 워커에 속도 제한 추가 백포트
• 커스텀 플로우의 DUO_WORKFLOW_DEFINITION 환경 변수 수정 백포트
• 대규모 파이프라인에서 발생하던 파이프라인 테스트 리포트 타임아웃 수정 (!247590 19.1 백포트)
• 재동기화 시 Geo 검증 재시도 필드 보존 백포트
• Ci::JobDefinition 설정 크기 제한을 구성 가능하도록 변경 - 작업 설정이 1MiB를 초과할 때 파이프라인이 실패하던 문제 수정 (!241962 19.1 백포트)
• REST API로 취약점 노트 조회 시 발생하던 500 오류 수정 백포트
• securityReportFindings 커서가 빈 문자열일 때 발생하던 500 오류 수정 19.1 백포트
• blob 뷰어 청크 간 복사 시 콘텐츠가 중복되던 문제 수정 백포트
• 불안정한 quick_action_suggestions frame-guard 스펙 수정
• Siphon CDC 테이블 정의를 번들로 포함한 siphon-tables 이미지 추가
• 19.1: CI에서 gitlab.com 자격 증명 헬퍼를 gitlab.com에만 설정
• jemalloc 5.3.0으로 되돌리기 (19-1-stable 백포트)
• CI 이미지 버전 상향

19.0.6

• postgres_index_bloat_estimate SQL 함수 추가 백포트
• 릴리즈 노트 CI 작업 수정: 건너뛰기 레이블 추가 + MR 파이프라인만 실행 19.0 백포트
• 대규모 파이프라인에서 발생하던 파이프라인 테스트 리포트 타임아웃 수정 (!247590 19.0 백포트)
• Ci::JobDefinition 설정 크기 제한을 구성 가능하도록 변경 - 작업 설정이 1MiB를 초과할 때 파이프라인이 실패하던 문제 수정 (!241962 19.0 백포트)
• 불안정한 프로젝트 이전 및 quick_action_suggestions frame-guard 스펙 수정
• 19.0: Geo 검증 상태 테이블 2개에서 project_id 외래 키 제거
• 19.0: CI에서 gitlab.com 자격 증명 헬퍼를 gitlab.com에만 설정

업그레이드 시 주의사항

---

이 패치에는 업그레이드 과정에 영향을 줄 수 있는 데이터베이스 마이그레이션이 포함되어 있습니다.

설치 환경별 영향:

• 단일 노드 인스턴스: GitLab이 시작되기 전에 마이그레이션이 완료되어야 하므로, 이 패치는 업그레이드 중 다운타임을 유발할 수 있습니다.
• 다중 노드 인스턴스: 적절한 무중단(zero-downtime) 업그레이드 절차를 따르면 다운타임 없이 적용할 수 있습니다.

일반 마이그레이션(Regular migrations): 업그레이드 과정에서 실행되는 일반 마이그레이션이 포함된 버전은 19.2.2, 19.0.6입니다.

배포 후 마이그레이션(Post-deploy migrations): 업그레이드 이후 실행할 수 있는 배포 후 마이그레이션이 포함된 버전은 19.2.2입니다.

업그레이드가 설치 환경에 미치는 영향에 대한 자세한 내용은 다중 노드 배포의 경우 무중단 업그레이드 문서를, 단일 노드 설치의 경우 표준 업그레이드 문서를 참조하세요.

업그레이드 안내

---

GitLab 업데이트는 GitLab 업데이트 문서를, GitLab Runner 업데이트는 Runner 업데이트 문서를 참조하세요.

원문 바로가기: GitLab 19.2.2, 19.1.4, 19.0.6 보안 릴리즈 노트

더 많은 GitLab에 대한 정보와 데모가 궁금하신가요? 혹은 GitLab 업그레이드가 필요하신가요? 그렇다면 인포그랩에 연락하세요! DevOps 전문가가 도와드립니다.