KR — ZDNet Korea
"서버 생태계 전반 위협"...PHP이어 노드.js서도 보안 취약점 발견
보안1분 읽기
Node.js라는 서버 실행 환경에서 심각한 보안 취약점 'Node2shell(CVE-2026-111497)'이 발견됐다. 보안 기업 티오리가 이를 확인하고 긴급 대응 가이드를 공개했다.
무슨 일이 있었나
PHP에 이어 자바스크립트 서버 실행 환경인 Node.js에서도 큰 보안 구멍이 발견됐다. AI 기반 보안 기업 티오리는 이 취약점을 직접 재현해 확인하고, 기업과 기관을 위한 긴급 대응 가이드를 26일 공개했다. 공격자는 로그인 없이 조작된 데이터를 보내 서버를 멈추게 하거나, 서버를 마음대로 조종할 수 있다.
꼭 알아야 할 숫자와 사실
- 공식 위험도는 '높음'으로 분류됐다.
- 영향을 받는 버전은 Node.js 22.x, 24.x, 26.x 라인 중 최신 보안 패치가 없는 버전이다.
- 수정된 패치 버전은 22.23.4, 24.22.1, 26.12.1 이상이다.
- 공식 지원이 끝난 Node 20 이하 버전은 OS나 지원 업체의 업데이트 여부를 확인해야 한다.
쉽게 말하면
Node.js는 자바스크립트로 서버 프로그램을 돌릴 수 있게 해 주는 도구다. 웹과 클라우드 개발에서 아주 많이 쓰인다. 이번 문제는 데이터를 작게 줄여 주고 풀어 주는 'Brotli' 기능에서 나왔다. 개발자가 이 기능을 직접 쓰지 않아도, 웹 도구가 자동으로 처리하면서 위험에 노출될 수 있다.
왜 중요한가
서버는 많은 사람이 쓰는 서비스를 떠받치는 곳이라 여기가 뚫리면 피해가 크다. 티오리는 개발자의 코드 잘못과 관계없이 Node.js 버전 자체 때문에 생기는 문제라고 설명했다. 그래서 기업들은 바로 패치를 적용하고, 패치가 어려우면 임시 차단 조치를 해야 한다. 티오리는 무료 온라인 점검 서비스(nodejsguard.io)도 열었다.
앞으로 지켜볼 점
- 기업들이 Node.js 최신 패치를 얼마나 빨리 적용하는지
- Node 20 이하 사용자들이 보안 업데이트를 받을 수 있는지
- PHP2shell에 이어 서버 취약점이 더 발견될지
용어 풀이
- Node.js
- 자바스크립트로 서버 프로그램을 실행하게 해 주는 환경이다.
- Brotli
- 웹에서 데이터를 작게 압축해 빠르게 보내는 기술이다.
- Node2shell(CVE-2026-111497)
- Node.js의 Brotli 디코더에서 발견된 치명적 보안 취약점의 이름과 번호다.