전체 보고서 목차

핵심 변화부터 판단 근거와 원문까지, 필요한 항목으로 바로 이동하세요.

핵심 변화3개오늘 먼저 볼 변화

연결된 근거15개분석에 연결된 원문

행동 시점3개오늘·이번 주·이번 달·올해 말

선별 원문5개오늘 읽을 근거

핵심 신호

전체 수집원을 종합한 변화와 행동 3개

CVSS 10.0

GitLab CE/EE 19.2~19.4, 인증 없이 코드 실행되는 CI 정규식 취약점…19.4.2·19.3.5·19.2.8에서 수정

GitLab은 10월 12일 CVE-2026-97229를 고친 패치를 냈다. CI/CD 설정에 넣은 특수 정규식으로 인증 없는 사용자가 서버에서 임의 코드를 실행할 수 있었다. 영향 버전은 19.2.8 미만 19.2, 19.3.5 미만 19.3, 19.4.2 미만 19.4다. 같은 릴리스에 High 5건을 포함한 보안 수정 24건이 함께 들어 있다.

자체 운영 인스턴스 관리자는 /help에서 버전을 보고 같은 줄의 패치로 올린다. 19.3 줄은 Ona 연동 MR 페이지 버그가 있던 19.3.4가 아니라 19.3.5로 간다. 단일 노드는 마이그레이션이 끝날 때까지 서비스가 멈추므로 점검 시간을 먼저 공지한다.

8.12.0~8.22.0

curl 8.23.0, HTTP/2 업로드 use-after-free(CVE-2026-92392, High) 포함 보안 수정 21건

업로드 중 서버가 RST_STREAM(HTTP_1_1_REQUIRED·REFUSED_STREAM)을 보내면 libcurl이 해제된 Curl_easy 객체를 다시 쓴다. 영향은 8.12.0~8.22.0이고 8.14.3·8.16.2·8.20.2 패치 브랜치는 제외된다. 8.22.0의 공개 취약점 21건 가운데 High는 이것 하나다. 메인테이너는 공격 시도 대부분이 크래시로 끝난다고 봤다.

외부 HTTPS 서버로 파일을 올리는 서비스·이미지에서 libcurl 8.12.0~8.22.0이 확인되면 8.23.0이나 배포판 수정 패키지로 바꾼다. 당장 못 바꾸는 경로에만 CURL_HTTP_VERSION_1_1(--http1.1)을 걸어 HTTP/2를 끈다.

25종 중 2종

Trail of Bits, 패키지 매니저 25종 시험…내려받은 모든 패키지를 검증한 건 Go·vcpkg뿐

mitmproxy로 변조된 저장소를 흉내 낸 시험이다. npm·pnpm·Yarn·uv·Poetry·Cargo 등 9종은 lockfile이 있을 때만 해시를 대조했다. pip·Conda·Gradle·NuGet·Pub 5종은 추가 설정이 필요했고, Maven·Composer·Gem 등 9종은 lockfile로도 막지 못했다. 서명을 기본으로 검증한 곳은 Go 하나였다.

근거 원문 보기

어제의 판단 복기

2026-10-14 판단의 변경 여부만 요약합니다

2유지

0변경

1확인 중

공식 근거가 달라진 판단은 없습니다. 기존 행동 기준을 유지합니다.

전날 브리핑과 비교

확인 타임라인

발행 시점에 따라 다시 볼 뉴스를 나눴습니다

이번 주Debian 트래커 기준 sid는 8.23.0-1로 고쳐졌지만 testing(forky)은 아직 8.22.0-1로 취약 상태다. Ubuntu는 26.04만 영향이 있었고 8.18.0-1ubuntu2.8에서 고쳐졌다.debian:testing 계열 이미지로 업로드 작업을 돌리는 팀은 forky에 8.23.0-1이 들어온 뒤 이미지를 다시 빌드한다. 그 전까지는 해당 업로드 경로의 HTTP/1.1 고정을 풀지 않는다.
이번 달Gemini 4 Argon 도입가는 11월 30일까지다. 12월 1일 전에 가격 문서를 다시 열어 도입가 연장이나 단가 변경이 있는지 본다.
올해 말GitLab은 보안 이슈 상세를 패치 릴리스 90일 뒤 이슈 트래커에 공개한다. 10월 12일 릴리스 기준 2027년 1월 10일 무렵 CVE-2026-97229 상세가 열리면 그때까지 패치하지 않은 인스턴스의 위험이 달라진다.

Hunt News 한 줄 판단

자체 운영 GitLab 19.2~19.4는 19.4.2·19.3.5·19.2.8로 바로 올려야 한다. 인증 없이 서버에서 코드가 실행되는 CVSS 10.0 취약점이다.

GitLab은 10월 12일 CI/CD 정규식 컴파일러의 정수 오버플로 CVE-2026-97229를 고친 패치를 내고 자체 운영 인스턴스에 즉시 업그레이드를 권했다. GitLab.com은 이미 패치됐고 Dedicated 고객은 할 일이 없으며, 19.2 이전 버전은 이 CVE의 영향 버전 목록에 없다. 단일 노드는 DB 마이그레이션이 끝나야 GitLab이 다시 뜨므로 업그레이드 동안 서비스가 멈추고, 멀티 노드는 무중단 업그레이드 절차를 따르면 중단 없이 적용할 수 있다.

판단 근거curl 취약점은 버전 숫자보다 'HTTP/2로 외부 서버에 올리는 libcurl'로 좁혀야 한다

CVE-2026-92392는 업로드 중 서버가 보낸 RST_STREAM 하나로 libcurl이 이미 해제한 전송 핸들을 다시 쓰는 결함이고, 수정 기준은 8.23.0이다. 그런데 이번에는 버전 숫자만 비교하면 판정이 틀리기 쉽다. Ubuntu 24.04의 curl은 결함이 들어오기 전 버전이라 영향이 없고, Debian trixie는 8.14.1이라는 문자열을 그대로 둔 채 deb13u7 패키지에서 고쳐졌다. 반대로 Debian testing의 8.22.0-1은 아직 취약하고, 언어 바인딩이나 애플리케이션에 따로 묶인 libcurl은 OS 패키지를 갱신해도 바뀌지 않는다. 그래서 영향 판단은 curl을 쓰느냐보다 어느 libcurl이 HTTP/2로 신뢰하지 않는 서버에 업로드하느냐로 좁히는 편이 정확하다. 내부 서버만 상대하는 업로드라면 정기 패치 주기에 맞춰도 무리가 적다. 다만 이 판단은 메인테이너가 밝힌 공격 조건, 곧 약 135KB 업로드와 대상의 아키텍처·힙 배치를 미리 알아야 한다는 전제에 기대고 있다. 조건을 덜 요구하는 공개 익스플로잇이 나오면 내부 경로까지 즉시 패치 대상으로 올려야 한다.

판단을 바꾸는 조건

기사 요약이 아니라 채택 조건과 후속 확인 신호입니다

개발자 인사이트

curl 8.23.0은 SMB 지원을 뺐다…보안 업그레이드가 smb:// 전송을 끊는다

8.23.0 변경 목록의 첫 항목 가운데 'SMB: drop support'가 있고, 빌드 옵션 HTTP_ONLY도 같은 릴리스에서 제거됐다. CVE-2026-92392 때문에 업스트림 8.23.0으로 바로 올리면 smb:// URL로 파일을 주고받던 스크립트는 더 이상 동작하지 않는다. 버전 문자열이 이전 번호에 머무는 배포판 수정 패키지는 8.23.0의 기능 변경을 함께 가져오지 않으므로, 두 경로의 결과가 다르다.

curl을 직접 빌드하거나 8.23.0 이미지를 쓰는 팀은 올리기 전에 코드와 cron에서 smb:// 사용처를 찾는다. 남아 있으면 그 전송을 다른 경로로 옮긴 뒤 올리고, 옮길 수 없으면 배포판 수정 패키지를 쓴다. 근거 원문

pip는 --hash가 한 줄만 있어도 모든 의존성에 해시를 요구한다

Trail of Bits 표에서 pip는 'lockfile과 추가 단계가 있어야 검증'으로 분류됐다. pip 문서에 따르면 requirements.txt의 한 요구사항에 --hash를 적는 순간 hash-checking mode가 전역으로 켜지고, 모든 의존성이 == 고정과 해시를 갖춰야 설치가 진행된다. 일부 패키지에만 해시를 넣으면 오류로 끝나므로 조금씩 도입할 수 없다. 배포 스크립트에 --require-hashes를 걸면 해시가 빠진 requirements 파일을 설치 전에 거부한다. 같은 표에서 uv와 npm은 커밋된 lockfile이 있으면 기본으로 해시를 대조하는 쪽에 들어 있다.

근거 원문

원문 발행일과 보고서 기준 시차를 함께 표시합니다. 72시간이 지난 원문은 배경 자료로 구분합니다. 공식 원문, 독립 출처와 실무 영향을 대조해 고른 5개입니다. 전체 수집원은 아래에서 분야별로 확인할 수 있습니다.

Lobsters10.14 18:44

A UAF turned RCE

보고서 기준 최근 72시간

한국어 제목 · UAF가 원격 코드 실행으로 이어진 과정

공식 권고에 없는 공격 순서가 있다. 서버가 윈도 크기를 0으로 만들어 업로드를 멈추고 스트림을 리셋하면, multi 핸들 정리 과정에서 해제된 메모리에 서버 데이터가 들어간다. 약 135KB 업로드, 23바이트 안팎의 페이로드 공간 같은 조건을 읽으면 자기 업로드 경로가 실제로 얼마나 노출됐는지 가늠할 수 있다.

근거 원문

Hacker News01:55

Linus Torvalds's first LLM-assisted patch series

보고서 기준 최근 72시간

한국어 제목 · Linus Torvalds의 첫 LLM 보조 패치 시리즈

Torvalds가 LLM을 써서 만든 mm 패치 10개는 자주 쓰이는 folio의 해제를 RCU 기간 뒤로 미뤄 read() 위주 벤치마크를 한 자릿수 차수만큼 빠르게 했다. 리뷰에서 곧바로 레이스 조건이 지적돼 추가 작업이 필요하다는 점까지 기록돼 있다. AI 보조 커밋도 기존 커널 리뷰에서 같은 기준으로 걸러진다는 실제 사례다.

근거 원문

Google AI Blog10.14 01:00

Gemini 4 Argon: Built to solve your hardest problems

보고서 기준 최근 72시간

한국어 제목 · Gemini 4 Argon: 가장 어려운 문제를 풀도록 만든 모델

공개 범위가 경로마다 다르다. 개발자는 Gemini API 유료 티어로 AI Studio·Android Studio에서 쓸 수 있지만, Antigravity는 AI Ultra 구독자만, Gemini 앱은 AI Pro·Ultra 구독자만 쓸 수 있다. 팀이 어느 경로로 시험할지 정하기 전에 이 구분과 1M 입출력 토큰 한도를 확인할 수 있는 원문이다.

근거 원문

블로터10.14 22:11

피지컬 AI 예산, 전체 중 5%? 다시 보면 19%인 이유 - 블로터

보고서 기준 최근 72시간

같은 2027년 예산안이 집계 범위에 따라 4.9%와 18.9%로 갈린다. 과기정통부 소관 피지컬 AI 예산은 4,622억 원으로 부처 AI 예산 9조 4,211억 원의 약 4.9%이고, 기획예산처가 모든 부처를 합친 값은 3조 1,000억 원으로 정부 AI 예산 16조 4,000억 원의 약 18.9%다. 지원 사업을 찾는 로봇 개발팀은 과기정통부 밖 부처 사업까지 봐야 한다.

근거 원문

매일경제 IT11:51

AI 투자 거품 우려 확산…코어위브 주가 장중 17% 폭락

발행 시각 확인 필요

코어위브 주가는 10월 14일(현지) 장중 최대 17% 떨어졌고, 2032년 만기 회사채 가격은 액면 1달러당 80센트 아래로 내려가 연 수익률이 15% 안팎이 됐다. 네오클라우드에서 장기 GPU 임대를 검토하는 팀은 단가와 함께 공급사의 부채 부담도 따져 볼 근거가 생겼다.

근거 원문

보고서에 사용한 수집 자료

제목은 발견용이며 핵심 사실과 발행일은 원문에서 확인합니다

AI/ML 핵심

The Verge AI03:47

개발 트렌드

DEV.to03:57

AI 공식 블로그

AWS ML Blog01:24

국내 IT

ZDNet Korea10.14 22:48

국내 시사

매일경제 IT11:51

Hunt News 2026-10-15

이 날짜의 Hunt News 기술 보고서입니다. 수집 신호, 선정 근거, 영향과 실행 항목을 한 화면에서 확인할 수 있습니다.

ROS 2 문제 해결 모음 · 글을 만드는 방식