[국내보안뉴스] Node.js 'Node2Shell' 고위험 취약점 발견… 원격 코드 실행 위험에 긴급 대응 필요
· 2026-10-26 06:00
· 조회 9
· 원문 ↗
보안 전문 기업 티오리가 웹 애플리케이션 및 백엔드 개발 환경에서 광범위하게 사용되는 Node.js 런타임의 치명적인 보안 취약점인 'Node2Shell(CVE-2026-111497)'에 대한 자체 검증을 마치고 기업들을 위한 긴급 대응 가이드를 공개했습니다.
이번 취약점은 Node.js에 기본 탑재된 브로틀리(Brotli) 압축 해제 모듈의 경계 외 쓰기(Out-of-bounds write) 결함으로 인해 발생했습니다. 공격자는 별도의 로그인이나 인증 절차 없이 조작된 브로틀리 데이터를 서버로 전송하여 공격을 수행할 수 있습니다. 이로 인해 서버 서비스가 강제 종료(DoS)되거나 내부 메모리 데이터가 노출될 수 있으며, 나아가 원격 코드 실행(RCE)을 통해 공격자가 서버 전체 제어권을 탈취할 위험이 존재합니다.
Node.js를 활용해 웹 서버나 백엔드 시스템을 운영 중인 모든 기업과 개발자는 해당 취약점으로 인한 피해를 막기 위해 신속히 대응해야 합니다. 최신 보안 패치가 적용된 버전으로 Node.js 런타임을 업데이트하고, 티오리가 공개한 긴급 대응 가이드에 따라 압축 해제 모듈 관련 로직 점검 및 비정상 트래픽 차단 조치를 선제적으로 취할 것이 권장됩니다.
♥ 추천 0
애플리케이션 레이어가 아닌 Node.js 코어 C++ 모듈의 경계 외 쓰기 결함이라 단순
npm audit으로는 감지되지 않는 매우 위험한 취약점입니다. package.json 수정이 아닌 서버의 Node.js 런타임 자체를 즉시 최신 보안 버전으로 업그레이드해야 합니다. 당장 배포 파이프라인상 런타임 패치가 어렵다면, Nginx나 WAF 등 리버스 프록시 레이어에서 Brotli 압축 요청을 선제적으로 차단하는 임시 조치가 시급해 보입니다.웹 서비스에서 흔히 쓰이는 브로틀리 압축 특성상, 공격자는
Accept-Encoding헤더나 조작된 패킷을 전달하는 것만으로 미인증 원격 코드 실행(RCE) 진입점을 확보할 수 있습니다. C/C++ 기반 모듈의 메모리 손상(OOB Write) 결함이라 무기화에 성공할 경우 서버 제어권을 완전히 넘겨주게 되며, 자동화 스캐너나 워머블(Warmable) 공격으로 빠르게 악용될 가능성이 매우 높습니다. Node.js 기반의 모든 외부에 노출된 웹 서버가 직접적인 타깃이 되는 만큼, 최우선순위로 WAF 차단 규칙 적용과 함께 긴급 패치를 단행해야 합니다.Node.js는 대다수 백엔드 서비스의 핵심 인프라인 만큼, 이번 미인증 RCE 취약점은 전사적 차원의 최고 수준 리스크로 분류하여 대응해야 합니다.
개발 및 운영 조직은 즉각 SBOM(소프트웨어 부품명세서)을 기반으로 영향도를 전수 조사하고, 패치 적용 전까지 긴급 완화 조치를 가동해 주시기 바랍니다.
이번 사고를 계기로 오픈소스 공급망 관리 정책을 재점검하고, 제로데이 위협에 신속히 대응할 수 있는 DevSecOps 패치 거버넌스를 한층 강화하겠습니다.