GitLab 보안 패치 릴리즈 19.5.3, 19.4.5, 19.3.7, 19.2.10, 19.1.10, 19.0.11, 18.11.14
2026년 10월 29일 GitLab Community Edition(CE)과 Enterprise Edition(EE)의 패치 버전 19.5.3, 19.4.5, 19.3.7, 19.2.10, 19.1.10, 19.0.11, 18.11.14가 출시되었습니다.
이번 릴리즈는 개인키가 유출된 eMudhra 중간 CA 인증서 8개의 신뢰를 GitLab이 배포하는 인증서 저장소에서 제거합니다(CVE-2026-111943). 코드 취약점을 고친 것이 아니라 신뢰하지 않아야 할 인증서를 목록에서 빼는 변경입니다. GitLab은 영향을 받는 버전을 사용 중인 모든 셀프 관리형 설치를 이번 패치 버전 가운데 하나로 업그레이드할 것을 강력히 권장합니다.
GitLab.com에는 이미 패치가 적용되어 있습니다. GitLab Dedicated는 19.4.3-internal0 이상을 사용 중인 테넌트에 이미 수정 사항이 포함되어 있어 별도의 조치가 필요하지 않습니다.
GitLab만 업그레이드해서는 끝나지 않습니다
본 릴리즈는 Runner와 AI Gateway까지 함께 올려야 하는 패치입니다.
GitLab Runner와 AI Gateway는 인증서를 각자 검증합니다. GitLab을 올려도 두 구성 요소는 함께 올라가지 않으므로 따로 업그레이드해야 합니다.
- GitLab Runner를 19.5.1로 업그레이드하세요. 셀프 호스팅 Runner가 대상입니다. 자체
ca-certificates패키지를 포함한 CI/CD 작업 이미지가 있다면 그 이미지도 다시 빌드해야 합니다. 방법은 Runner 업데이트 페이지를 참조하세요. - AI Gateway를 18.11.8, 19.0.13, 19.1.9, 19.2.5, 19.3.3, 19.4.3, 19.5.3 중 해당 버전 이상으로 업그레이드하세요. 셀프 호스팅 AI Gateway가 대상입니다. 방법은 AI Gateway 설치 페이지를 참조하세요.
- 19.5.3과 19.4.5에는 일반 마이그레이션이 포함됩니다. 단일 노드 설치는 마이그레이션이 끝나야 GitLab이 기동하므로 업그레이드 중 다운타임이 발생합니다. 다중 노드 설치는 무중단 업그레이드 절차를 따르면 중단 없이 적용할 수 있습니다.
권장 조치
아래 취약점의 영향을 받는 버전을 사용 중이라면 가능한 한 빨리 최신 패치 버전으로 업그레이드할 것을 강력히 권장합니다. 특정 배포 유형(Omnibus, 소스 코드, Helm 차트 등)이 명시되지 않은 경우에는 모든 배포 유형이 영향을 받습니다.
보안 취약점
이번 릴리즈에서 수정된 보안 취약점은 1건입니다. GitLab은 이번 릴리즈에 심각도 등급과 CVSS 점수를 표기하지 않았습니다.
| CVE | 제목 | 심각도 | CVSS |
|---|---|---|---|
| CVE-2026-111943 | 유출된 eMudhra 중간 CA 인증서(eMudhra Intermediate CA Certificates)에 대한 신뢰 제거가 GitLab CE/EE에 영향 | 원문 미표기 | 원문 미표기 |
CVE-2026-111943 — 유출된 eMudhra 중간 CA 인증서 신뢰 제거 (GitLab CE/EE)
개인키가 유출된 eMudhra 중간 CA 인증서 8개에 대한 신뢰를 GitLab이 배포하는 인증서 저장소에서 제거했습니다. 해당 인증서로 서명된 증명을 더 이상 신뢰하지 않습니다.
- CVE: CVE-2026-111943
- 영향 버전 (GitLab CE/EE): 18.11.14 미만 전체, 19.0 이상 19.0.11 미만, 19.1 이상 19.1.10 미만, 19.2 이상 19.2.10 미만, 19.3 이상 19.3.7 미만, 19.4 이상 19.4.5 미만, 19.5 이상 19.5.3 미만
- 심각도·CVSS: GitLab이 이번 릴리즈에 등급과 점수를 표기하지 않았습니다.
- 배경: eMudhra가 공개한 사고 보고서에서 확인할 수 있습니다.
버그 수정
19.5.3
- [19.5 백포트] 유출된 eMudhra CA 인증서 신뢰 해제
- Go 1.27.3으로 상향
- [19.5] Ruby 3.3용 ISEQ 및 imemo_env Copy-on-Write GC 수정 백포트
- ‘fetch가 없는 작업이 Git 객체 풀을 빌려 쓰지 않도록 수정’과 ‘다운스트림 파이프라인의 Git alternates 수정’ 백포트
- ‘Geo 컨테이너 레지스트리 복제 시 매니페스트 누락’ 19.5 백포트
- ‘Rspack 출력이 체크아웃 경로에 좌우되지 않도록 수정’ 19.5 백포트
- ‘토론에 답글을 달 때 첫 노트만 렌더링하도록 수정’ 19.5 백포트
- ‘인스턴스 감사 이벤트 스트리밍의 차단 목록 필터 지원’ 19.5 백포트
- ‘설정된 API URL로 중첩 Jira 요청 URL을 구성하도록 수정’ 백포트
- ‘그래프 빌드의 상위 조회를 위해 SBOM 발생 항목을 색인하도록 개선’ 19.5 백포트
- ‘Security::Scans::PurgeByJobIdWorker에 동시 실행 한도 추가’ 19.5 백포트
- ‘파일 저장이 끝난 뒤 Geo 작업 아티팩트 검증 상태를 생성하도록 수정’ 백포트
- [19.5] Orbit 기능 백포트 되돌림
- cacerts를 2026-10-20 버전으로 상향
- gitlab-omnibus-builder를 5.69.1로 상향
- 백포트: RPM 업로드 후 중복되는 Pulp CLI publish를 건너뛸 수 있도록 개선
- 백포트: RPM 업로드 후 Pulp CLI 결과를 출력하지 않도록 수정
- [19.5] Ruby 3.3용 ISEQ 및 imemo_env Copy-on-Write GC 수정 백포트 (Omnibus)
- [19.5] Go 1.27.3
19.4.5
- [19.4 백포트] 유출된 eMudhra CA 인증서 신뢰 해제
- Go 1.26.10으로 상향
- [19.4] Ruby 3.3용 ISEQ 및 imemo_env Copy-on-Write GC 수정 백포트
- ‘프로젝트별로 동시에 들어오는 보안 리포트 수집을 하나로 묶도록 개선’ 19.4 백포트
- ‘토론에 답글을 달 때 첫 노트만 렌더링하도록 수정’ 19.4 백포트
- ‘설정된 API URL로 중첩 Jira 요청 URL을 구성하도록 수정’ 백포트
- ‘탐지 식별자의 충돌하는 삽입을 건너뛰도록 수정’ 19.4 백포트
- ‘인스턴스 감사 이벤트 스트리밍의 차단 목록 필터 지원’ 19.4 백포트
- ‘기본 인증 또는 베어러로 전달된 CI 작업 토큰을 작업 사용자 기준으로 집계’ 중 감사 이벤트 수정 백포트
- ‘파일 저장이 끝난 뒤 Geo 작업 아티팩트 검증 상태를 생성하도록 수정’ 백포트
- [19.4] Orbit 기능 백포트 되돌림
- ‘변경되지 않은 취약점 식별자는 다시 쓰지 않도록 개선’ 19.4 백포트
- 백포트: Pulp 업로드 작업의 제한 시간을 2시간으로 상향
- cacerts를 2026-10-20 버전으로 상향
- gitlab-omnibus-builder를 5.68.1로 상향
- 백포트: RPM 업로드 후 중복되는 Pulp CLI publish를 건너뛸 수 있도록 개선
- 백포트: RPM 업로드 후 Pulp CLI 결과를 출력하지 않도록 수정
- [19.4] BUILDER_IMAGE_REVISION을 5.68.2로 상향
- [19.4] Ruby 3.3용 ISEQ 및 imemo_env Copy-on-Write GC 수정 백포트 (Omnibus)
- [19.4] Go 1.27.3
19.3.7
- [19.3 백포트] 유출된 eMudhra CA 인증서 신뢰 해제
- Go 1.26.10으로 상향
- [19.3-stable] golang-fips 툴체인에 GOFIPS140=off 강제 적용
- ‘프로젝트별로 동시에 들어오는 보안 리포트 수집을 하나로 묶도록 개선’ 19.3 백포트
- ‘토론에 답글을 달 때 첫 노트만 렌더링하도록 수정’ 19.3 백포트
- ‘설정된 API URL로 중첩 Jira 요청 URL을 구성하도록 수정’ 백포트
- ‘파일 저장이 끝난 뒤 Geo 작업 아티팩트 검증 상태를 생성하도록 수정’ 백포트
- 19-3-stable-ee의 내부 이벤트 검증 컴포넌트를 v1.1.3으로 고정
- cacerts를 2026-10-20 버전으로 상향
- gitlab-omnibus-builder를 5.65.3으로 상향
- 백포트: Pulp 업로드 작업의 제한 시간을 2시간으로 상향
- 백포트: RPM 업로드 후 중복되는 Pulp CLI publish를 건너뛸 수 있도록 개선
- 백포트: RPM 업로드 후 Pulp CLI 결과를 출력하지 않도록 수정
- [19.3] BUILDER_IMAGE_REVISION을 5.65.4로 상향
- [19.3] Go 1.26.10
19.2.10
- Go 1.26.10과 eMudhra CA 신뢰 해제를 19.2-stable에 백포트
- ‘위키 환경 조정’ 19.2 백포트
- [19.2] gRPC 기본 루트 인증서로 시스템 CA 번들 사용
- 백포트: Pulp 업로드 작업의 제한 시간을 2시간으로 상향
- [19.2] cacerts를 2026-10-20 버전으로 상향
- [19.2] BUILDER_IMAGE_REVISION을 5.63.4로 상향
- [19.2] Go 1.26.10
19.1.10
- Go 1.26.10과 eMudhra CA 신뢰 해제를 19.1-stable에 백포트
- [19.1] gRPC 기본 루트 인증서로 시스템 CA 번들 사용
- 백포트: Pulp 업로드 작업의 제한 시간을 2시간으로 상향
- [19.1] BUILDER_IMAGE_REVISION을 5.60.6으로 상향
- [19.1] cacerts를 2026-10-20 버전으로 상향
- [19.1] Go 1.26.10
19.0.11
- Go 1.26.10과 eMudhra CA 신뢰 해제를 19.0-stable에 백포트
- [19.0] gRPC 기본 루트 인증서로 시스템 CA 번들 사용
- 백포트: Pulp 업로드 작업의 제한 시간을 2시간으로 상향
- [19.0] cacerts를 2026-10-20 버전으로 상향
- [19.0] BUILDER_IMAGE_REVISION을 5.60.6으로 상향
- [19.0] Go 1.26.10
18.11.14
- Go 1.26.10과 eMudhra CA 신뢰 해제를 18.11-stable에 백포트
- [18.11] gitlab-markup을 2.2.0으로, rdoc을 8.1.0으로 업데이트
- 백포트: Pulp 업로드 작업의 제한 시간을 2시간으로 상향
- [18.11] BUILDER_IMAGE_REVISION을 5.52.2로 상향
- [18.11] cacerts를 2026-10-20 버전으로 상향
- [18.11] Go 1.26.10
업그레이드 안내
GitLab을 업데이트하려면 업데이트 페이지를 참조하세요. GitLab Runner는 Runner 업데이트 페이지를, AI Gateway는 AI Gateway 설치 페이지를 참조하세요.
관련 글
GitLab 크리티컬 보안 패치 릴리즈 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 1건·높음 2건을 포함한 12건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 특수하게 조작된 정규식으로 인증되지 않은 사용자가 서버에서 임의 코드를 실행할 수 있는 정규식 컴파일러 정수 오버플로(CVSS 10.0), OmniAuth SAML과 LDAP 자동 연결 시 기존 LDAP 계정 탈취가 가능한 부적절한 인증(CVSS 8.2), OAuth/OIDC 디스커버리 엔드포인트 캐시 오염(CVSS 7.5)이 있습니다.
GitLab 크리티컬 보안 패치 릴리즈 19.4.2, 19.3.5, 19.2.8
GitLab 19.4.2, 19.3.5, 19.2.8 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 1건·높음 5건을 포함한 24건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 CI/CD 구성의 조작된 정규식으로 인증되지 않은 사용자가 서버에서 임의 코드를 실행할 수 있는 정규식 컴파일러 정수 오버플로(CVSS 10.0), 구문 강조의 크로스 사이트 스크립팅(CVSS 8.7), 다운스트림 파이프라인 생성 서비스의 부적절한 인가(CVSS 8.5)가 있습니다.
GitLab 크리티컬 보안 패치 릴리즈 19.4.1, 19.3.3, 19.2.7
GitLab 19.4.1, 19.3.3, 19.2.7 긴급(크리티컬) 보안 패치가 출시되었으며, 크리티컬 2건·높음 2건을 포함한 11건의 보안 수정 사항이 포함되어 있어 모든 셀프 관리형 인스턴스의 즉시 업그레이드를 강력히 권장합니다. 주요 취약점으로는 CI/CD 구성의 조작된 정규식으로 서버에서 임의 코드를 실행할 수 있는 정규식 파서 이중 해제(CVSS 9.9)와 정규식 컴파일러 정수 오버플로(CVSS 9.9), 머지 요청 diff 뷰어의 크로스 사이트 스크립팅(CVSS 8.7)이 있습니다.