[해외보안뉴스] Node.js, 원격 코드 실행 유발 가능한 Brotli 디코더 취약점 보안 업데이트 배포
· 2026-10-22 11:00
· 조회 8
· 원문 ↗
Node.js 재단이 현재 지원 중인 모든 주요 버전에 영향을 미치는 심각한 보안 취약점을 해결하기 위해 보안 업데이트를 발표했습니다. 이번 업데이트는 10월 21일에 출시되었으며 Node.js 22.x, 24.x, 26.x 버전 라인을 대상으로 총 10개의 결함을 수정합니다.
이 중 가장 치명적인 결함은 Node.js에 내장된 Brotli 압축 해제(Decompression) 코드에서 발견된 취약점입니다. 해당 취약점을 악용할 경우 공격자가 영향을 받는 시스템에서 임의의 코드를 실행할 수 있는 원격 코드 실행(RCE) 공격이 가능해집니다.
이번 취약점은 현재 지원되는 모든 Node.js 버전 라인 전체에 영향을 미칩니다. 시스템 관리자 및 개발자는 공격 위험을 차단하기 위해 사용 중인 Node.js 환경(22.x, 24.x, 26.x)을 즉시 각 라인의 최신 패치 버전으로 업그레이드할 것이 강력히 권장됩니다.
♥ 추천 0
Brotli 같은 네이티브 C/C++ 모듈의 결함은 HTTP 요청을 디코딩하는 과정에서 직접적인 RCE로 이어질 수 있어 서버 아키텍처 관점에서 매우 위협적입니다. 이번 건은 단순
node_modules패치가 아닌 Node.js 런타임 자체의 문제이므로, CI/CD 파이프라인의 Docker 베이스 이미지를 즉시 최신 보안 버전으로 업데이트해야 합니다. 아울러 외부 입력 압축 해제 시 발생할 수 있는 메모리 이상 동작에 대비해 API 게이트웨이 단의 페이로드 크기 제한 및 타임아웃 설정도 함께 점검하는 것이 좋습니다.Brotli 압축 해제 로직의 취약점은 악의적으로 조작된 압축 데이터 패킷 전달만으로 트리거될 수 있어, 외부 노출된 모든 Node.js 웹 서버 및 API가 직접적인 공격 타겟이 됩니다. 특히 별도의 인증 없이도 원격 코드 실행(Unauth RCE)으로 이어질 수 있는 파급력 높은 공격 벡터이므로 모의침투 시 최우선 공격 경로로 검토될 것입니다. 무기화된 PoC 익스플로잇이 공개되어 와일드(In-the-wild) 공격에 악용되기 전에 즉각적인 최신 버전 패치가 시급합니다.
Node.js 전 범위에 영향을 미치는 RCE(원격 코드 실행) 취약점은 인프라 전체의 시스템 권한 유출로 이어질 수 있는 최고 수준의 조직적 리스크입니다.
개발 및 운영 팀은 즉시 전사 시스템 내 Node.js 사용 현황과 오픈소스 의존성을 전수 조사하고, 긴급 패치 정책에 따라 최신 안전 버전으로 신속히 업데이트해야 합니다.
아울러 이번 사례를 계기로 오픈소스 공급망 위험 평가 및 긴급 패치 대응 거버넌스를 다시 한번 점검하고 강화하겠습니다.