PHP 이어 Node.js도 보안 취약점 발견…긴급 업데이트 권고
개발자 코드 문제없어도 공격 노출 가능
[파이낸셜뉴스] 웹사이트와 서버 개발에 사용되는 소프트웨어 실행 환경 'Node.js'에서 외부 공격자가 서버를 장악할 수 있는 취약점이 발견됐다. 최근 프로그래밍 언어 PHP에 이어 Node.js에서도 중대한 취약점이 잇따라 확인되면서 기업들의 신속한 보안 점검과 업데이트가 요구된다.
26일 보안업계에 따르면 Node.js 프로젝트는 지난 21일 공식 보안 공지를 통해 압축 데이터를 해제하는 '브로틀리' 모듈에서 원격 코드 실행이 가능한 취약점(CVE-2026-111497)이 발견됐다고 밝혔다.
Node.js는 자바스크립트 프로그래밍 언어를 웹브라우저 밖에서도 실행할 수 있도록 하는 소프트웨어 환경으로, 웹 서버와 애플리케이션 개발에 널리 활용된다.
이번 취약점은 압축된 데이터를 원래 상태로 되돌리는 과정에서 발생하는 오류에서 비롯됐다. 공격자가 악의적으로 조작한 압축 데이터를 서버에 보내면 별도 인증 없이 서버를 비정상 종료시키거나 메모리를 노출시킬 수 있다. 특정 조건에서는 악성 코드를 원격으로 실행해 서버 제어권까지 탈취할 가능성이 있다. 개발자가 압축 기능을 직접 사용하지 않더라도 공격에 노출될 수 있다는 점이 특징이다. 다만 실제 공격 가능성은 서버의 데이터 처리 방식과 실행 환경에 따라 달라진다.
해당 취약점은 오픈AI 코덱스 보안팀이 제보했다. 앞서 오픈AI는 인공지능(AI) 에이전트들이 브로틀리의 잠재적 취약점을 스스로 발견했다고 밝힌 바 있다.
Node.js 개발진은 취약점 위험도를 '높음'으로 분류하고, 이를 수정한 22.23.4·24.22.1·26.12.1 버전을 배포했다. 해당 버전보다 오래된 22.x·24.x·26.x 계열 사용자는 최신 보안 업데이트를 적용해야 한다.
한국인터넷진흥원(KISA)도 관련 보안 공지를 내고 영향을 받는 Node.js 버전 이용자들에게 업데이트를 권고했다.
국내 보안업계도 대응에 나섰다. 보안업체 티오리는 이날 'Node2Shell'로 불리는 이번 취약점의 자체 재현 및 검증을 완료하고 긴급 대응 가이드를 공개했다. 즉각적인 업데이트가 어려운 기업을 위한 임시 대응 방안과 함께 서비스 인터넷 주소(URL)만 입력하면 취약점 노출 위험을 무료로 점검할 수 있는 온라인 진단 서비스도 선보였다.
임준오 티오리 AI앤사이버 리서치팀 총괄은 "이번 취약점은 개발자가 압축 기능을 직접 쓰지 않았더라도 웹 프레임워크가 응답을 처리하는 과정에서 자동으로 공격에 노출될 수 있어 사전 차단이 무엇보다 중요하다"며 "임시 조치와 함께 최신 패치 적용을 서둘러달라"고 당부했다.
[email protected] 최혜림 기자
