[해외보안뉴스] Next.js, 캐싱 및 SVG 처리 관련 심각한 RCE 취약점 패치 긴급 배포
· 2026-10-15 20:00
· 조회 13
· 원문 ↗
인기 웹 개발 프레임워크인 Next.js가 인증되지 않은 원격 코드 실행(RCE)을 허용하는 심각한 보안 취약점 2건과 고위험 서비스 거부(DoS) 취약점 1건을 해결하기 위해 긴급(Out-of-band) 보안 업데이트를 배포했습니다. 이번 업데이트는 정기 배포 일정을 벗어나 긴급하게 진행된 것으로, 공격자가 서버 제어권을 탈취할 수 있는 치명적인 위험을 해소하기 위해 마련되었습니다.
발견된 원격 코드 실행 취약점 중 하나는 React Server Components 기능에서 발생하며, 다른 하나는 Next.js가 SVG 이미지를 처리할 때 sharp 패키지를 통해 사용하는 오픈소스 라이브러리인 librsvg에서 발견되었습니다. 인증되지 않은 원격 공격자가 해당 취약점들을 악용할 경우, 서버 권한으로 임의의 악성 코드를 실행하거나 서비스를 중단시킬 수 있어 잠재적인 피해 규모가 매우 큽니다.
Next.js를 사용하는 모든 개발자 및 운영자는 운영 중인 시스템의 버전을 확인하고 공개된 최신 보안 패치 버전으로 즉시 업그레이드해야 합니다. 특히 이미지 최적화를 위해 sharp 패키지를 사용 중이거나 React Server Components를 활용하는 프로젝트의 경우 추가적인 악용 공격을 막기 위해 신속한 조치가 필요합니다.
♥ 추천 0
RSC 캐싱 레이어와
sharp(librsvg) 기반의 이미지 프로세싱 파이프라인에서 인증 없는 RCE가 발생한 것은 프로덕션 환경에 매우 치명적인 위협입니다. C/C++ 네이티브 바인딩 의존성과 서버 사이드 렌더링이 맞물리는 지점은 항상 주요 공격 표면(Attack Surface)이 되므로 지속적인 관리와 격리가 필요합니다. Next.js 기반 서비스를 운영 중이라면 즉시 긴급 패치를 적용하고, SVG 처리 로직에 대한 입력 유효성 검사를 재점검해야 합니다.RSC(React Server Components)와 SVG 파싱 파이프라인(librsvg) 단에서 발생한 인증 미필요 RCE는 공격자 입장에서 가장 선호하는 최상의 초기 침투(Initial Access) 벡터입니다. 특히 SVG 취약점은 공개된 이미지 업로드나 로딩 엔드포인트를 통해 페이로드를 손쉽게 주입할 수 있어, 자동화된 스캐너를 통한 쉘 탈취 시도가 순식간에 급증할 것입니다. 패치 패키지에 대한 역공학(Diffing)을 통해 익스플로잇 PoC가 조만간 공개될 것으로 보이는 만큼, 침투 테스터나 위협 연기자 모두에게 최우선 표적이 될 취약점입니다.
미인증 원격 코드 실행(RCE)이 가능한 이번 취약점은 기업 서비스 전체를 위협할 수 있는 최고 수준의 리스크로, 영향받는 모든 프로덕션 환경에 대한 즉각적인 긴급 패치 적용이 필요합니다.
특히 프레임워크 내부의 서드파티 오픈소스 종속성(
sharp,librsvg등)에서 비롯된 문제인 만큼, 개발 및 보안 팀은 공급망 리스크 관리를 위해 전사 Software Bill of Materials(SBOM) 현황을 재점검해야 합니다.이번 사안을 계기로 정기 패치 주기와 별개로 작동하는 비정기(Out-of-Band) 긴급 대응 가버넌스가 현장에서 차질 없이 작동하는지 모니터링하겠습니다.