사내 Git 서버가 Gitea라면 접속이 잘된다는 이유만으로 업데이트를 미루기 어렵다. 한국인터넷진흥원(KISA)은 8월 27일 Gitea의 코드 주입 취약점에 대한 보안 업데이트를 권고했다. 인터넷에 공개한 서버는 현재 버전과 노출 범위를 먼저 확인해야 한다.
Gitea 1.27.1 미만이면 우선 점검
KISA가 안내한 CVE-2026-60004는 diffpatch API와 Git 훅 설치를 악용해 원격 코드 실행으로 이어질 수 있는 취약점이다. 영향 범위는 Gitea 1.17 이상 1.27.1 미만이며, 해결 버전은 1.27.1 이상이다.
Gitea 1.27.1은 인증 없이 Org-mode의 #+INCLUDE 지시어로 임의 파일을 읽을 수 있었던 CVE-2026-59774도 수정했다. 취약 버전을 쓴다고 침해가 확정되는 것은 아니다. 다만 낯선 관리자 계정·SSH 키·토큰·Git 훅이나 예상하지 못한 외부 연결이 보이면 업데이트와 별도로 조사해야 한다.
| 확인 항목 | 기준 | 우선 조치 |
|---|---|---|
| 현재 버전 | 1.17 이상 1.27.1 미만 | 외부 노출을 줄이고 업데이트 준비 |
| 최소 해결 버전 | 1.27.1 이상 | 호환성 검토 뒤 1.27.2 적용 고려 |
| 현재 패치 | 1.27.2 | 추가 보안 수정과 변경 기록 확인 |
현재는 1.27.2까지 검토할 이유가 있다
8월 14일 나온 1.27.2에는 토큰 범위 우회, Jupyter 노트북 렌더링, 외부 렌더러 명령줄 주입, Actions 비밀정보 노출 등 여러 보안 수정이 더 들어갔다. 1.27.1이 CVE-2026-60004의 최소 해결 버전이지만, 운영 환경과 사용자 템플릿을 점검한 뒤 1.27.2를 목표로 잡는 편이 낫다.
버전은 사이트 관리 > 시스템 상태에서 보거나 서버에서 gitea --version으로 확인할 수 있다. Docker를 쓴다면 compose 파일의 이미지 태그와 실행 중인 컨테이너 버전을 함께 본다. 두 값이 다르면 재시작 때 옛 버전이 다시 뜰 수 있다.
업데이트 전 확인할 5단계
- 배포 방식을 기록한다. 바이너리·패키지·Docker·Kubernetes 여부와 DB, 저장소 위치를 적는다.
- 노출부터 줄인다. 취약 버전이 인터넷에 열려 있으면 점검 동안 방화벽이나 프록시 허용 목록으로 관리자·사내망 접근만 남긴다.
- 일관된 백업을 만든다. 서비스를 정상 종료한 뒤 DB,
app.ini,APP_DATA_PATH, Git 저장소와 S3·MinIO 같은 외부 저장소를 함께 백업한다. - 1.27.2로 교체한다. 공식 배포본을 쓰고 변경 기록과 사용자 템플릿 호환성을 확인한다. Docker는
latest대신 버전 태그를 명시한다. - 재기동 뒤 검증한다. 버전, 시작 로그, 마이그레이션 오류, 로그인·clone·push, Actions·패키지 기능을 확인한 뒤 외부 접근을 복원한다.
서비스 실행 중인 파일 복사는 피한다
Gitea 공식 문서는 백업 일관성을 위해 서비스를 중지해야 한다고 설명한다. 서비스가 실행 중인 채 데이터 폴더만 복사하면 DB와 Git 저장소의 시점이 어긋날 수 있다. 업데이트 오류가 났다고 백업 없이 구버전 바이너리만 덮어쓰는 것도 위험하다.
의심스러운 훅과 로그는 먼저 삭제하지 않는다. 침해가 의심되면 인터넷 노출을 제한하고 VM·컨테이너 볼륨, DB, Gitea·프록시 로그를 보존한다. 깨끗한 기기에서 관리자 비밀번호, 토큰, SSH 키, Actions 비밀정보와 DB·스토리지 자격증명을 교체한다.
FAQ
1.27.1이면 CVE-2026-60004는 해결됐나?
KISA의 해결 기준은 1.27.1 이상이다. 다만 1.27.2가 추가 보안 문제를 수정했으므로 현재는 1.27.2까지 검토하는 편이 안전하다.
업데이트만 하면 침해 조사도 끝나나?
아니다. 패치는 새 악용을 막는 조치다. 이상 계정·키·토큰·훅·로그가 있다면 별도 조사와 자격증명 교체가 필요하다.
문제가 생기면 곧바로 구버전으로 내려도 되나?
먼저 백업과 변경 기록을 확인한다. Gitea는 상위 버전에서 DB 구조를 바꿀 수 있어, 백업 없이 구버전만 실행하면 복구가 더 어려워질 수 있다.
공식 출처
- KISA 보호나라: Gitea 제품 보안 업데이트 권고
- Gitea 1.27.1 보안 수정
- Gitea 1.27.2 추가 보안 수정
- Gitea 공식 업그레이드 문서
- Gitea 공식 백업·복원 문서
기준일은 2026년 8월 28일이다. 함께 볼 글로는 WordPress 7.0.4 보안 업데이트와 PostgreSQL 8월 보안 업데이트가 있다.