[서버긴급점검] PHP 이어 Node.js도 보안 비상…개발진, 해당 취약점에 대한 긴급 보안 패치 배포

[CBC뉴스] 웹 서버와 애플리케이션 개발에 널리 활용되는 Node.js에서 원격 코드 실행을 허용하는 보안 취약점이 발견되면서, 관련 버전 사용자들에게 보안 업데이트 적용이 권고되고 있다. Node.js 프로젝트는 지난 21일 공식 공지를 통해 브로틀리(Brotli) 압축 해제 모듈에 취약점(CVE-2026-111497)이 존재함을 발표했으며, 한국인터넷진흥원(KISA)도 이에 대한 주의를 촉구했다.

이 취약점은 오픈AI 코덱스 보안팀이 제보했다. 오픈AI 측은 자사의 인공지능(AI) 모델 통제망 탈출 테스트 과정에서 AI 에이전트들이 브로틀리 모듈의 잠재적 위협을 스스로 찾아냈다고 밝힌 바 있다.

Node.js는 자바스크립트 언어를 웹브라우저 외부 환경에서도 실행할 수 있도록 설계된 소프트웨어로, 서버와 백엔드 시스템 구축에 폭넓게 쓰인다. 이번에 보고된 취약점은 22.23.4, 24.22.1, 26.12.1 버전이 영향을 받으며, Node.js 개발진은 해당 버전에 대한 보안 패치를 이미 배포했다.

공격자가 이 결함을 악용할 경우, 별도의 인증 없이 서버를 비정상적으로 종료시키거나 원격에서 악성 코드를 실행할 수 있다. 다만 실제 공격 성공 여부는 서버의 압축 데이터 처리 방식과 실행 환경에 따라 달라진다.

국내 보안기업 티오리는 Node2Shell 취약점에 대한 자체 검증을 마치고, 기업 및 기관을 위한 긴급 대응책을 마련했다고 밝혔다. 티오리는 개발자가 작성한 코드에 문제가 없더라도 Node.js 실행 환경의 결함으로 인해 공격에 노출될 수 있음을 지적했다. 특히 외부에서 전달받은 압축 데이터를 자동 해제하는 기능을 사용하는 경우 취약점 악용 가능성에 대한 점검이 필요하다고 강조했다. 또한, 별도의 프로그램 설치 없이 서비스의 인터넷 주소(URL)만 입력해 취약점 노출 여부를 무료로 확인할 수 있는 'Node.js 가드' 온라인 진단 서비스를 공개했다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 전 세계 팬덤의 결집, cbcglobe.com ▶
★ 돈돈돈, 남몰래 혼자 보는 – 돈 되는 뉴스 ▶

▮ CBC뉴스ㅣCBCNEWS 하영수 기자