Cloudflare WAF, GitLab 경로 탐색 취약점 CVE-2026-85706 탐지와 요청 스머글링 규칙 강화
Cloudflare는 2026년 9월 30일자 WAF 릴리스에서 GitLab의 경로 탐색 취약점 CVE-2026-85706 관련 신규 탐지를 추가했다고 밝혔다. 함께 HTTP 요청 스머글링, 디렉터리 탐색, 명령어 주입 시도를 겨냥한 범용 규칙 변경도 포함돼 있어, 공개 서비스 앞단에 Cloudflare WAF를 두고 있는 운영 환경에서는 룰 동작 변화와 차단 전환 여부를 점검하는 것이 핵심이다.
이번 릴리스에서 바뀐 내용
이번 변경의 핵심은 GitLab에 영향을 주는 경로 탐색 취약점 CVE-2026-85706 대응 탐지가 새로 추가됐다는 점이다. Cloudflare 관리형 룰셋에서 해당 탐지는 이전 동작이 로그였고 새 동작은 차단으로 제시돼, 기존에 관찰 중심으로 보던 트래픽이 실제 차단으로 전환될 수 있다.
동시에 HTTP 요청 스머글링 관련 베타 규칙은 기존 원본 규칙으로 병합됐다. 명령어 주입 관련 베타 규칙도 원본 규칙으로 합쳐지는 방향이어서, 운영자는 별도 베타 룰을 기준으로 예외를 관리하던 구성이 있는지 함께 살펴볼 필요가 있다.
운영자가 먼저 확인할 점
Cloudflare 앞단에서 GitLab 서비스를 공개하고 있다면, 우선 CVE-2026-85706과 연결된 신규 디렉터리 탐색 탐지가 적용되는지 확인하는 것이 우선이다. 특히 자체 예외 정책, URI 정규화, 리버스 프록시 경로 재작성 설정이 있는 경우에는 정상 요청이 차단되지 않는지 점검해야 한다.
HTTP 요청 스머글링 규칙은 병합 이후 실제로 어떤 원본 규칙 ID가 활성 상태인지 확인해야 한다. 여러 리전이나 다수 도메인을 운영하는 환경에서는 계정별 정책 템플릿과 서비스별 예외 규칙이 서로 다를 수 있어, 룰 병합 후 예상과 다른 차단·로그 편차가 없는지 보는 것이 중요하다.
명령어 주입 규칙도 베타 규칙이 원본 규칙으로 정리되는 흐름이므로, 과거 테스트용으로 비활성화해 둔 예외가 현재 운영 규칙에 어떤 영향을 주는지 다시 확인할 필요가 있다. 서버호스팅이나 코로케이션 환경에서 고객 애플리케이션을 프록시하는 경우에는 고객별 URI 패턴 차이로 오탐 양상이 달라질 수 있다.
체크리스트로 보면
1) Cloudflare 관리형 WAF에서 CVE-2026-85706 관련 신규 탐지가 적용되는 서비스 범위를 확인한다. 2) 해당 규칙의 동작이 로그에서 차단으로 바뀌는지 검토하고, GitLab 관련 정상 경로 호출이 영향을 받지 않는지 테스트한다. 3) 요청 스머글링 베타 규칙이 병합된 뒤 원본 규칙이 실제 활성 상태인지 확인한다. 4) 명령어 주입 베타 규칙 병합에 따라 기존 예외 정책, 내부 표준 템플릿, 자동 배포 정책에 남은 참조가 없는지 점검한다.
국내나 일본 리전에서 분산 운영 중인 환경이라면, 동일한 Cloudflare 계정 아래 여러 서비스에 공통 WAF 정책을 쓰는 경우가 많다. 이때 한 서비스에서 추가한 예외가 GitLab 또는 API 서비스 전체에 확장 적용되지 않았는지 함께 보는 편이 안전하다.
핵심 포인트
- Cloudflare가 GitLab 경로 탐색 취약점 CVE-2026-85706 관련 신규 탐지를 추가했다.
- 디렉터리 탐색 관련 신규 규칙은 로그에서 차단으로 동작이 바뀌는 항목이 포함됐다.
- HTTP 요청 스머글링 베타 규칙은 기존 원본 규칙으로 병합됐다.
- 명령어 주입 베타 규칙도 원본 규칙으로 병합되는 변경이 안내됐다.