GitHub이 큰 위기에 처했습니다!

하이라이트

• GitHub은 git push 옵션과 xstat 헤더의 검증 누락을 악용한 원격 코드 실행(RCE) 보안 취약점이 발견되는 심각한 보안 위기에 직면했다.

• 2026년 2월 기준 GitHub은 AI로 생성된 프로젝트와 코드량의 폭발적인 증가에 대응하기 위해 시스템 용량을 기존 대비 30배로 증설하는 계획을 수립했다.

• GitHub 시스템 가동률은 여러 서비스 부문에서 99.9%에 미치지 못하며 잦은 가동 중단(다운타임) 문제를 겪고 있다.

• 2026년 4월 23일 발생한 머지 큐(merge queues) 로직 오류로 인해 일부 프로젝트의 Git 히스토리가 유실되는 데이터 사고가 발생했다.

• GitHub은 2025년 8월 토마스 돔케 CEO 사임 이후 마이크로소프트의 Core AI 부서 산하 조직으로 편입되어 AI 도구 공급에 집중하고 있다.

• 오픈 소스 프로젝트 Zig는 서비스 안정성과 플랫폼 방향성 문제를 이유로 2025년 11월 GitHub에서 Codeberg로 저장소를 이전했다.

타임라인

1. 00:00 - 03:47

   심각한 보안 결함과 원격 코드 실행 취약점

   취약점은 피싱이나 계정 탈취가 아닌 표준 git push 기능을 통해 발생했다. GitHub은 push 요청에 대한 인증만 수행했을 뿐 데이터 유효성 검증을 소홀히 하여 보안 연구원이 코드를 첨부하고 실행하는 것을 허용했다. 현재 이 문제는 보고 직후 수정되어 추가적인 피해는 없는 것으로 확인되었다.

   • 보안 업체 Viz가 github.com 서버에서 직접 명령어를 실행할 수 있는 원격 코드 실행(RCE) 취약점을 발견했다.
   • 해당 취약점은 git push 옵션 플래그를 통해 xstat 헤더에 추가 메타데이터를 삽입할 때 데이터 검증(Sanitize) 과정이 누락되어 발생했다.
   • 공격자는 이 경로를 통해 특정 저장소의 권한을 넘어 GitHub 서버 전체에 접근하여 비공개 저장소 데이터까지 탈취할 수 있는 상태였다.
2. 03:48 - 07:51

   머지 큐 오류와 시스템 가동률 저하

   머지 큐는 대규모 팀이 메인 브랜치의 최신 상태를 유지하며 빠르게 풀 리퀘스트를 처리하도록 돕는 필수 기능이다. 하지만 내부 오류로 인해 정보가 누락된 채 머지가 수행되면서 프로젝트 데이터가 손상되는 치명적인 결과가 초래되었다. 사용자들은 자신의 실수로 오인하여 디버깅에 시간을 허비하다가 나중에야 GitHub 자체의 결함임을 인지하는 상황이다.

   • 2026년 4월 23일 머지 큐 기능의 내부 로직 오류로 인해 잘못된 커밋이 생성되고 Git 히스토리 일부가 유실되는 사고가 일어났다.
   • GitHub의 공식 시스템 가동률은 99.9%를 하회하며 외부 모니터링 사이트 기준으로는 훨씬 처참한 수준의 업타임을 기록하고 있다.
   • 잦은 기능 오류와 가동 중단 현상은 대규모 개발 팀의 워크플로우를 중단시키며 플랫폼에 대한 신뢰도를 하락시킨다.
3. 07:52 - 12:26

   AI 트래픽 폭증과 인프라 마이그레이션의 충돌

   사용자가 AI를 통해 완성하지 못한 프로젝트를 대량으로 생성하고 push하면서 시스템에 전례 없는 압박이 가해지고 있다. GitHub 엔지니어들은 기존 시스템을 안정화하는 동시에 클라우드로의 대규모 인프라 이전을 병행해야 하는 과부하 상태에 놓여 있다. 마이크로소프트의 자본력이 있음에도 불구하고 이러한 급격한 트래픽 증가는 플랫폼 아키텍처에 한계를 불러왔다.

   • AI 에이전트가 생성한 수많은 사이드 프로젝트와 코드가 GitHub으로 몰리면서 2026년 들어 모든 트래픽 지표가 수직 상승했다.
   • GitHub은 2025년 10월에 용량 10배 증설을 계획했으나 트래픽 추이에 따라 2026년 2월에는 30배 증설로 목표를 수정했다.
   • 자체 데이터 센터의 모놀리식 구조를 Azure 클라우드 기반 마이크로서비스로 전환하는 마이그레이션 과정이 트래픽 대응을 더 어렵게 만들고 있다.
4. 12:27 - 16:35

   마이크로소프트의 전략 변화와 경영진 공백

   마이크로소프트는 GitHub을 독자적인 기업으로 운영하기보다 자사의 AI 툴체인을 구성하는 하위 조직으로 취급하고 있다. 이로 인해 개발자들이 원치 않는 곳까지 Copilot 기능이 침투하고 있으며, 서비스의 본질적인 안정성보다 AI 기능 확장이 우선시되는 현상이 나타나고 있다. 경영진의 부재는 플랫폼의 장기적인 개발자 중심 철학을 유지하는 데 걸림돌이 된다.

   • 전임 CEO 토마스 돔케의 사임 이후 독자적인 CEO 임명 없이 GitHub은 마이크로소프트의 Core AI 부서 산하로 재편되었다.
   • GitHub의 핵심 정체성은 단순한 코드 호스팅 플랫폼에서 'AI 기반 개발자 플랫폼'으로 강제 전환되고 있다.
   • 모든 기능에 Copilot을 통합하는 전략은 전통적인 소스 코드 관리 및 협업 도구로서의 품질 저하를 야기한다.
5. 16:36 - 23:13

   오픈 소스 생태계의 붕괴 위기와 향후 전망

   AI 에이전트를 가동해 이슈를 만드는 비용은 낮아졌지만 이를 사람이 검토하는 비용은 여전히 높다. GitHub은 오히려 AI 생성 콘텐츠가 더 쉽게 공유되도록 장려하며 메인테이너의 고통을 가중시키고 있다. 대안 플랫폼으로의 대규모 엑소더스는 아직 현실적이지 않지만, 서비스 안정성이 올해 내로 개선되지 않는다면 기업 사용자들조차 이탈을 고려하게 될 심각한 상황이다.

   • 메인테이너들은 AI가 양산한 저질 이슈와 풀 리퀘스트를 검토하느라 극심한 번아웃을 겪고 있으나 GitHub은 이를 필터링할 도구를 제공하지 않는다.
   • Zig와 같은 일부 상징적인 오픈 소스 프로젝트들은 GitHub의 불안정성을 피해 이미 다른 플랫폼으로 이전을 시작했다.
   • 기업과 개인 개발자들은 높은 전환 비용과 대체재의 한계로 인해 당분간 GitHub에 머물겠지만 플랫폼 신뢰도는 최저 수준에 머물러 있다.