GitHub에서 git push 한 번이면 서버를 장악할 수 있는 취약점이 발견됐다

GitHub에서 git push 한 번이면 서버를 장악할 수 있는 취약점이 발견됐다.
CVSS 8.7, 제보 40분 만에 재현 확인.
수백만 개의 비공개 저장소가 위험에 노출돼 있었다.

위즈(Wiz) 연구진이 GitHub에서 RCE 취약점을 찾아냈다.
RCE(원격 명령 실행, Remote Code Execution)는 공격자가 다른 서버에서 명령어를 직접 실행할 수 있게 만드는 가장 위험한 등급의 결함이다.
이번 건은 "git push 한 번"이라는 일상 명령어로 트리거됐다.

CVE 번호와 등급은 이렇다.
- CVE-2026-3854
- CVSS 8.7 (높음 등급)
- 유형: Command Injection (명령어 주입)
푸시 권한만 있으면 됐다는 게 핵심이다.
협업자로 등록된 외부 개발자도 트리거할 수 있는 조건이었다.

영향 범위는 GitHub.com과 GitHub Enterprise Server 양쪽 모두였다.
보안 업계에서는 이런 케이스를 "공급망 위험"으로 분류한다.
코드 호스팅 자체가 뚫리면,
그 위에서 빌드되는 모든 제품 배포 라인이 함께 영향을 받기 때문이다.
수백만 개의 비공개 저장소 접근이 가능했다는 게 보도 핵심이다.

GitHub은 이미 패치를 배포했다.
GitHub.com은 자동 적용됐지만,
Enterprise Server는 관리자가 직접 업데이트해야 한다.
자체 호스팅 운영 팀은 패치 적용 여부부터 확인할 시점.

실무에서 보면 이번 사건의 진짜 교훈은 "푸시 권한 관리"다.
협업자 명단이 길어진 채 방치된 저장소가 가장 위험하다.
한 번도 푸시한 적 없는 외부 협업자,
퇴사자, 외주 개발자가 그대로 남아 있는 경우가 흔하다.
코드 호스팅이 인프라화된 만큼,
GitHub 권한 점검을 분기 단위 보안 점검 항목에 포함하는 게 안전하다.