PHP 이어 엔비디아·골드만삭스 쓰는 개발 도구도 치명적 결함…프로그램 '설계도' 유출 위험

[서울=뉴시스]윤정민 기자 = 웹 언어 PHP의 취약점으로 비상이 걸린 가운데 엔비디아 등 글로벌 기업들이 프로그램 개발에 쓰는 '깃랩(GitLab)'에서도 치명적인 보안 결함이 발견됐다. 공격자가 로그인하지 않고도 서버에서 원하는 악성 코드를 마음대로 실행할 수 있는 결함이다.

기업과 기관의 내부 개발 및 배포 시스템에 대한 전면적인 보안 점검이 시급하다.

23일 깃랩에 따르면 회사는 커뮤니티 에디션(CE)과 기업용 에디션(EE)의 취약점을 수정한 긴급 보안 업데이트를 공개했다.

이번 핵심 취약점(CVE-2026-110264)은 국제 보안 취약점 평가(CVSS 3.1) 기준 10점 만점을 받은 최고 위험 등급이다.

깃랩은 개발자들이 프로그램의 설계도에 해당하는 소스코드를 보관·공유하고 변경 이력을 관리하는 플랫폼이다. 수정한 프로그램을 자동으로 시험하고 실제 서비스에 배포하는 역할도 맡는다.

엔비디아와 골드만삭스, 유통기업 까르푸 등 수많은 글로벌 기업이 핵심 개발 도구로 깃랩을 쓰고 있다.

깃랩에 따르면 엔비디아는 여러 지역의 개발팀이 협업하는 데 깃랩을 활용하고 있다. 골드만삭스도 프로그램을 만들고 시험·배포하는 과정을 자동화하는 데 깃랩을 도입했다. 유통기업 까르푸는 전자상거래와 물류, 매장 시스템 등의 소프트웨어 개발·배포 과정을 통합하는 데 활용했다.

업계에서는 프로그램을 만들고 배포하는 시스템이 침해되면 소스코드 유출을 넘어 추가 피해로 이어질 수 있다는 분석이 나온다.

공격자가 확보한 권한에 따라 소스코드를 빼내거나 코드와 배포 설정을 변조할 수 있다. 개발·배포에 쓰이는 인증 정보까지 노출되면 연결된 다른 시스템으로 침입 범위가 넓어질 수도 있다. 배포 과정이 변조되면 악성코드가 섞인 프로그램이 서비스에 반영될 위험도 있다.

업계 한 관계자는 "PHP 사태가 웹사이트를 실행하는 소프트웨어의 보안 문제를 드러냈다면 깃랩 취약점은 프로그램을 만들고 배포하는 시스템도 안전한지 살펴야 한다는 점을 보여준다"며 "외부에 제공하는 서비스뿐 아니라 이를 제작·관리하는 시스템까지 보안 점검 대상에 포함해야 한다"고 말했다.

이번 결함은 문자열을 검색하거나 특정 형태와 일치하는지 확인하는 규칙인 '정규표현식'을 처리하는 과정에서 발생한다. 깃랩은 특정 조건에서 인증하지 않은 사용자가 서버에서 임의의 코드를 실행할 수 있었다고 설명했다.

깃랩은 자사가 운영하는 온라인 서비스 '깃랩닷컴'에 이미 패치를 적용했다고 밝혔다.

깃랩은 자체 서버에 설치해 운영하는 이용자에게 즉시 보안 업데이트를 적용하라고 권고했다. 공격 시도 점검을 돕기 위해 정규표현식 처리 프로그램의 비정상 종료와 특정 형식의 문서를 화면에 표시하는 과정에서 발생하는 오류 급증 등을 살피는 탐지 규칙도 공개했다.

국내외 사이버보안 당국도 취약한 깃랩 서버의 보안 업데이트를 주문했다.

한국인터넷진흥원(KISA)은 전날 보안 공지를 통해 영향받는 깃랩 버전과 수정 버전을 안내했다. 취약한 버전을 사용하는 기업·기관에 즉시 보안 업데이트를 적용하라고 밝혔다.

유럽연합(EU) 기관·기구 사이버보안 대응조직인 CERT-EU도 취약한 깃랩 서버를 운영하는 기관·기업에 신속히 보안 업데이트를 진행하라고 전했다. 인터넷에 노출된 서버부터 우선 조치하고 이미 침해된 시스템이 있는지도 점검하라고 말했다.


◎공감언론 뉴시스 [email protected]