"서버 생태계 전반 위협"...PHP이어 노드.js서도 보안 취약점 발견
[지디넷코리아]PHP에 이어 자바스크립트 서버 실행 환경인 노드.js(Node.js)에서도 보안 취약점이 발견됐다.Node.js는 자바를 서버에서 실행할 수 있게 해주는 환경이다. 웹과 클라우드 개발에서 상당히 중요한 위치를 차지하고 있다.AI 기반 오펜시브 사이버 보안 기업 티오리(Theori, 대표 박세준)는 웹 서버 및 백엔드 개발에 광범위하게 쓰이는 Node.js 런타임의 치명적 취약점인 ‘Node2shell(CVE-2026-111497)’에 대해 자체 재현 및 검증을 완료하고, 기업·기관을 위한 긴급 대응 가이드를 공개했다고 26일 밝혔다.이번에 발견된 Node2shell은 Node.js에 탑재되거나 링크된 브로틀리(Brotli) 압축 해제(디코더) 모듈의 'Out-of-bounds write(경계 외 쓰기)' 결함에서 비롯됐다.…
핵심 요약
- 노드.js 런타임서 치명적 취약점 'Node2shell' 발견
- 패치 안 된 22.x·24.x·26.x 버전 영향
- 티오리, 긴급 대응 가이드와 무료 점검 서비스 공개
자바스크립트 서버 실행 환경인 노드.js에서 치명적 보안 취약점 'Node2shell(CVE-2026-111497)'이 발견됐다. AI 기반 오펜시브 사이버 보안 기업 티오리(대표 박세준)는 26일 자체 재현 및 검증을 완료하고 기업·기관을 위한 긴급 대응 가이드를 공개했다고 밝혔다.
이 취약점은 노드.js에 탑재되거나 링크된 브로틀리 압축 해제 모듈의 경계 외 쓰기 결함에서 비롯됐다. 노드.js 공식 기준 위험도는 '높음'으로 분류됐다.
공격 방식과 영향 범위
티오리에 따르면 공격자는 별도 인증 없이 조작된 브로틀리 데이터를 보내 서버를 다운시키거나 메모리 노출, 원격 코드 실행을 통해 서버 제어권을 장악할 수 있다. 개발자가 작성한 애플리케이션 코드의 하자와 무관하게 런타임 버전 자체의 영향으로 발생하며, Express 5의 body-parser와 전역 fetch(), axios·got·node-fetch 등이 대표적 노출 경로로 확인됐다.
영향을 받는 버전은 22.x, 24.x, 26.x 라인 중 최신 보안 패치가 적용되지 않은 버전들이다. 노드.js 보안팀은 22.23.4, 24.22.1, 26.12.1 이상 버전을 즉시 배포하고 전면 업데이트를 권고했다. 지원이 종료된 노드 20 이하 버전은 OS 배포판이나 LTS 지원 업체의 보안 업데이트 유무를 확인해야 한다.
이번 Node2shell 취약점은 개발자가 압축 기능을 직접 쓰지 않았더라도 웹 프레임워크가 응답을 처리하는 과정에서 자동으로 공격에 노출될 수 있어 사전 차단이 무엇보다 중요하다
— 임준오 티오리 AI & Cyber Research팀 총괄
티오리 대응 방안
티오리는 즉각적인 패치가 어려운 기업을 위해 리버스 프록시와 애플리케이션 단의 임시 완화 방안을 함께 제시했다. 또 서비스 URL만으로 노출 위험성을 무료로 점검할 수 있는 온라인 진단 서비스(nodejsguard.io)도 열었다.
임준오 티오리 AI & Cyber Research팀 총괄은 압축 기능을 직접 쓰지 않았더라도 웹 프레임워크가 응답을 처리하는 과정에서 자동으로 노출될 수 있다며 사전 차단의 중요성을 강조했다. PHP2shell에 이어 Node2shell까지 서버 생태계 전반을 위협하는 취약점이 잇따라 발생하면서 기업들의 보안 부담이 커지고 있다.
ⓒ K새벽 무단 전재 및 재배포 금지
