2026.10.26 월요일
검색
'Node2Shell' 검색결과
기간검색
-
~
검색영역
검색어
-
PHP 이어 Node.js도 뚫렸다…웹서버 넘어 공통 압축기술까지 점검해야 [경제일보] PHP에 이어 웹서비스의 핵심 기반인 Node.js에서도 원격 코드 실행으로 이어질 수 있는 보안 취약점이 드러났다. 애플리케이션을 구동하는 런타임과 그 안에 포함된 압축 라이브러리까지 점검해야 하는 상황이다. 취약한 부품이 어디에 설치됐는지와 공격자가 보낸 데이터가 그 부품에 도달할 수 있는지를 함께 확인하는 것이 대응의 핵심이다. 26일 보안업계에 따르면 티오리는 Node.js 취약점 ‘Node2Shell(CVE-2026·111497)’을 자체 재현·검증하고 기업·기관용 대응 가이드를 공개했다. Node.js 개발팀은 지난 21일 관련 보안 업데이트를 배포했으며 위험도를 ‘높음’으로 분류했다. 결함은 Node.js에 포함된 Brotli 압축 해제 기능에 있다. 잘못된 형식의 데이터를 처리하다 정해진 메모리 영역 밖에 값을 쓰는 문제다. 공격자가 조작한 데이터를 애플리케이션이 압축 해제하면 프로세스 중단이나 메모리 정보 노출, 원격 코드 실행으로 이어질 수 있다. 실제 코드 실행 가능성도 연구진의 시험에서 확인됐다. 보안기업 임퍼바는 취약한 Node.js 24.22.0의 공식 리눅스 arm64 환경에서 외부 코드를 실행했고, 수정 버전인 24.22.1에서는 같은 입력이 거부됐다고 밝혔다. 실증에는 여러 차례 시도가 필요했다. 이는 시험 환경에서 확인한 결과로, 모든 운영체제와 서비스에서 같은 공격이 성공한다는 의미는 아니다. 노출 여부를 가르는 것은 압축 해제 경로다. Node.js를 설치했다는 이유만으로 모든 웹서버가 외부 요청에 즉시 장악되는 구조는 아니다. 공격자가 통제하는 Brotli 데이터를 취약한 디코더가 처리해야 한다. 기본 HTTP 서버는 요청을 받았다고 자동으로 Brotli 압축을 풀지 않는다. 그러나 개발자가 압축 해제 코드를 직접 작성하지 않아도 위험에 노출될 수 있다. 임퍼바는 Express 5와 body-parser 2 계열을 사용하는 요청 처리 경로, Node.js의 내장 fetch 기능으로 외부 서버의 압축 응답을 읽는 경로에서 공격을 재현했다. 웹 프레임워크나 통신 기능이 대신 호출하는 내부 부품이 공격 통로가 되는 것이다. 이 때문에 들어오는 요청만 막는 조치에는 한계가 있다. 프록시에서 Brotli 압축 요청을 거부하더라도 서비스가 외부 사이트에서 받아오는 압축 응답은 별도로 확인해야 한다. 클라이언트가 Brotli 응답을 요청하지 않아도 악성 서버가 해당 형식으로 보낼 수 있어 요청 헤더 변경만으로는 충분하지 않다. 영향 범위는 Node.js 바깥으로도 넓어지고 있다. 보안기업 제이프로그는 근본 결함이 여러 소프트웨어에서 재사용하는 구글 Brotli 디코더에 있다고 설명했다. HTTP 서버뿐 아니라 파일·미디어·문서 처리 프로그램도 취약한 구현을 포함하고 외부 입력을 처리한다면 점검 대상이 될 수 있다. Node.js 공식 수정 버전은 22.23.4, 24.22.1, 26.12.1이다. 각 계열의 해당 버전 이상으로 업데이트해야 한다. 공식 지원이 끝난 계열은 운영체제 배포판이나 장기지원 업체의 수정본 제공 여부를 확인하고 지원 버전으로 이전해야 한다. 패치 적용 여부는 실제 실행 환경에서 검증해야 한다. 호스트를 업데이트해도 컨테이너나 배포 산출물에 이전 Node.js 실행파일이 남아 있을 수 있다. 수정된 이미지로 다시 배포하고 실행 중인 서비스가 새 런타임을 사용하는지 확인해야 한다. 운영체제의 Brotli 라이브러리를 연결하는 배포판은 해당 보안 패키지의 수정 여부도 따져야 한다. 한편 이번 사안의 대응을 PHP 공격 사례와 섞어 판단해서는 안 된다. PHP에서 관측된 공격이나 특정 조직의 공격 준비 정황이 Node2Shell의 실제 침해를 입증하지는 않는다. 운영자는 압축 해제 경로와 배포본을 우선 점검하고, 비정상적인 프로세스 종료와 예상하지 못한 명령 실행·외부 연결 기록을 확인해야 한다.2026-10-26 15:12:24
많이 본 뉴스
영상
Youtube 바로가기
![[데스크 칼럼] 주택 공급은 숫자가 아니라 입주 가능한 집으로 평가해야](https://image.ajunews.com/content/image/2026/10/26/20261026094929588705_518_323.jpg)