GitLab, CVSS 10.0 무인증 RCE 패치… 2014년 버전까지 전부 취약
What's Getting Pwned
pwn.watch는 실시간 보안 사고를 모아 보여주는 피드다. 2026년 10월 21일 GitLab이 Onigmo 정규식 컴파일러의 정수 오버플로로 인한 CVSS 10.0 무인증 RCE(CVE-2026-110264)를 긴급 패치했는데, 2014년의 7.0 버전부터 모든 CE/EE가 영향을 받는다. 같은 날 Trend Micro ZDI가 패치 전 Linux 커널 취약점 보고서를 공개 리스트에 실수로 Cc해 ksmbd RCE(CVSS 9.0) 상세가 유출됐고, LiteLLM 1.107.0 PyPI 공급망 공격과 Railway 환경변수 무단 접근도 터졌다.
CVSS 10.0; every CE/EE version from 7.0 (2014) is in range. Instances that only applied the Oct 12 regex fix remain vulnerable and must upgrade again.
HN 토론
135- pixl97
2025년이 어땠는지 비교해 보는 것도 흥미로울 것 같네요.
취약점이 발견되는 속도가 정말 미쳤어요. 예전에 많은 사람들이 우리의 느슨한 보안 태세가 결국 우리를 물어뜯을 것이라고 경고했는데, 결국 여기까지 왔네요.
- demibabs
AI가 생성한 모든 페이지는 너무 작은 공간에 너무 많은 정보를 구겨 넣으려고 해요.
- xbar
Mythos를 처음 8시간 동안 가지고 놀아본 후, 어떻게 생각하냐는 질문을 받았습니다. 제 대답은 "이 세대의 LLM은 세계가 본 것 중 가장 큰 보안 사고의 물결을 일으킬 것"이었습니다.
아직 시작에 불과합니다.
- aeturnum
사건 분류 방식이 이해가 안 되네요. 이 Signal 취약점[1]은 "Live" 및 "ongoing"으로 표시되어 있지만 한 달 전에 패치되었습니다(오늘에야 발표됨). 알려진 익스플로잇이 없는 사건이 패치가 나온 지 1.5개월 후에도 "진행 중"이라면, 언제 끝나는 건가요?
- aduwah
pwnhub라고 부르지 않은 건 기회를 놓친 거네요.
- meerita
우리는 이제 조잡한 인간 작성 코드의 마지막 날들을 목격하고 있는 겁니다. 대부분의 버그가 수정되는 지점에 도달할 겁니다.
- WarmWash
주목해야 할 것은 사람들이 중국 모델의 능력을 악용하기 시작할 때 CCP가 무엇을 할 것이냐입니다. 중국이 광범위한 사이버 파괴의 얼굴이 되기를 원하지 않을 것 같고(당연히 그 피해자가 되기를 원하지도 않을 것)이며, 단 한 명의 미친 놈이 모든 사람을 망칠 수 있습니다.
또한 중국 모델이 미국 인프라를 공격하는 데 사용되는 반대 측면도 있는데, 이는 "중국 모델 금지" 대포에 포탄을 장전하는 꼴입니다.
- dunder_cat
rss 버튼이 작동하지 않습니다. https://pwn.watch/feed.xml 로 리디렉션될 때 404가 반환됩니다 :-(.
실제로 "json"과 "llms.txt" 버튼도 마찬가지인 것 같습니다.