[PHP 비상] 이번엔 Node.js…연이은 대형 취약점에 웹서버 보안 '빨간불' 작성일 10-26 53 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="YsRncQHlCr"> <figure class="figure_frm origin_fig" contents-hash="1daea889ea0cf353749a26cb76009d17fe58c5eda8fe446f972b1caa5232c9fc" dmcf-pid="GOeLkxXSlw" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/552796-pzfp7fF/20261026130430706mlet.jpg" data-org-width="640" dmcf-mid="yqbAsi3GWs" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/552796-pzfp7fF/20261026130430706mlet.jpg" width="658"></p> </figure> <p contents-hash="0750fc080484820e361dcc0ec146d55e715dfac5b8e56f915c3e532bab182377" dmcf-pid="HIdoEMZvWD" dmcf-ptype="general">[디지털데일리 김보민기자] 웹서버 런타임 환경에서 중대한 보안 결함이 잇따라 발생하고 있다. 일주일 간격으로 웹서버와 백엔드 개발의 핵심 기반인 'PHP'와 'Node.js' 환경에서 원격 코드 실행 취약점이 드러났다.</p> <p contents-hash="646d852e63a22a25c9fcfbb5df62fae607fa62d2ab5456e8cf50b8f7f2b63b8b" dmcf-pid="XCJgDR5TyE" dmcf-ptype="general">보안업계는 애플리케이션 단위의 보안 설정과 관계없이 기반 서버 자체를 직접 공격할 수 있다는 점을 고려해야 한다고 경고한다. 위험성이 큰 만큼 즉각 업데이트와 패치 등 대응이 필요하다는 목소리도 이어지고 있다.</p> <p contents-hash="983a96781b0efdf68f3a079836ad957bba5c7f2b9ed92359bfe15f75644f1f49" dmcf-pid="Zhiawe1yyk" dmcf-ptype="general">◆ <strong>Node2Shell 등장… PHP2Shell 잇는 런타임 위협</strong></p> <p contents-hash="b05e6590c06ee9e56b8faabd94f21e474e67e4e3d18a04092fe7b7bb1cbfdfb5" dmcf-pid="5lnNrdtWhc" dmcf-ptype="general">26일 보안업계에 따르면 최근 Node.js 런타임에서 'Node2Shell(CVE-2026-111497)' 취약점이 발견됐다. 앞서 발생한 PHP 취약점 'PHP2Shell'에 이어 런타임 환경을 겨냥한 보안 위협이 잇따라 드러난 것이다.</p> <p contents-hash="6269e007c0f4aec468a1a222cc23dc1bb87237def29380b0032ed7a5cf585fc6" dmcf-pid="1uhy1O6bCA" dmcf-ptype="general">사이버보안 기업 티오리는 Node2Shell이 Node.js 모듈에 포함되거나 연결된 'Brotli' 압축 해제 디코더 내부의 경계외쓰기(Out-of-bounds Write) 결함에서 비롯된다고 발표했다. 공격자는 별도의 인증 절차 없이 조작된 Brotli 데이터를 전송해 서비스거부(DoS) 공격을 일으킬 수 있다. 나아가 메모리 정보를 노출하거나 원격 코드 실행을 통해 서버 제어권을 탈취할 수 있다. Node.js 공식 기준 위험도는 '높음' 단계다.</p> <p contents-hash="efcfb55d0c5f539f1c1dd9bcd561978878c53dc19fc55254ec955bb22a99acd5" dmcf-pid="t7lWtIPKyj" dmcf-ptype="general">개발자가 압축 기능을 직접 호출하지 않더라도 웹 프레임워크의 응답 처리 과정에서 취약점에 노출될 가능성도 점쳐지고 있다. 애플리케이션 코드의 결함 여부와 관계없이 Node.js 런타임 버전 자체의 문제로 발생한다는 점이 핵심이다.</p> <p contents-hash="2c6bb8f1cebc7326384321513db65717ca09f534bdcec1fb57b7a4235825597f" dmcf-pid="FzSYFCQ9CN" dmcf-ptype="general">이는 앞서 공개된 PHP2Shell의 공격 구조와도 맞닿아 있다. 글로벌 소프트웨어 기업 TTM체인지의 분석 보고서에 따르면 PHP2Shell은 PHP 코어의 메모리 손상(CVE-2026-109618)과 오래된 전역 상태(CVE-2026-109619)를 악용하는 원격 코드 실행 취약점이다. 공통취약점평가시스템(CVSS) v4.0 기준 점수는 9.2점이다.</p> <p contents-hash="ec3ee903e680e902b6dd64319451ea4831478917b6856c252b10eb18bb8a83c9" dmcf-pid="3qvG3hx2Ta" dmcf-ptype="general">해당 취약점은 공격자가 별도의 로그인 계정을 생성하거나 인증 절차를 거칠 필요가 없다. 인증되지 않은 단일 요청만으로 공격을 수행할 수 있고, 애플리케이션 코드가 실행되기 전에도 공격이 가능하다. 취약한 코드는 PHP 5.4 배포까지 거슬러 올라가 10년 이상 남아 있었던 것으로 분석됐다.</p> <div contents-hash="e33d5daa17359f3c615baa9606cf7e28c1a13ddc377f5844ce9e6644d664264f" dmcf-pid="0BTH0lMVlg" dmcf-ptype="general"> TTM체인지는 웹 요청을 처리하는 모든 PHP 설치 환경이 영향을 받을 수 있다고 경고하고 있다. 이 가운데 'mod_php' 환경은 단일 환경 기준으로 가장 높은 위험에 노출된 것으로 분석됐다. TTM체인지는 "두 취약점 모두 애플리케이션 차원의 입력값 유효성 검사 등 기존 방어 기제만으로는 대응하기 어렵다는 공통점이 있다"고 말했다. </div> <figure class="figure_frm origin_fig" contents-hash="e30f1811c3b24487d9cd94641d8c82c2611c240630777649b60c38ff30c198a6" dmcf-pid="pbyXpSRflo" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/552796-pzfp7fF/20261026130432002kikj.jpg" data-org-width="640" dmcf-mid="WHrU9Zaelm" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/552796-pzfp7fF/20261026130432002kikj.jpg" width="658"></p> </figure> <p contents-hash="f6ef7b74411d7a05a0a05f60b977987487b6682136eecbba977e489afe085afe" dmcf-pid="UKWZUve4hL" dmcf-ptype="general">◆ <strong>전면 업데이트 필수… 임시 차단 조치 병행해야</strong></p> <p contents-hash="2e2e622cf55b11d28c17b4a4b5855ee9b5f31c875997efc65dcc7755d17b8efc" dmcf-pid="u9Y5uTd8Wn" dmcf-ptype="general">보안업계는 근본적인 해결책으로 취약점이 수정된 런타임 버전으로 업데이트해야 한다고 제언한다. 서버 설정 변경만으로는 공격을 완전히 차단하기 어렵다는 점도 강조하고 있다.</p> <p contents-hash="49b6bcd112defaf84b9d6fa28362ebc234715b4759c23a6543169ea7a39f7cb7" dmcf-pid="72G17yJ6Wi" dmcf-ptype="general">Node.js 운영 환경은 보안 패치 버전인 22.23.4, 24.22.1, 26.12.1 이상으로 즉시 업데이트해야 한다. 영향을 받는 대상은 Node.js 22.x, 24.x, 26.x 계열 가운데 최신 보안 패치가 적용되지 않은 버전 전체다.</p> <p contents-hash="b1db764cb64d34dfecd8021f1f6396f542ea1ac66bc8a7bfcb90d2f164060812" dmcf-pid="zzSYFCQ9SJ" dmcf-ptype="general">공식 지원이 종료된 Node.js 20 이하 버전을 사용하는 환경에서는 현재 운영 중인 운영체제 배포판이나 장기 지원(LTS) 업체가 보안 업데이트를 제공하는지 확인해야 한다. PHP 진영 역시 패치 릴리스를 배포했다. 다만 패치 공개 전 취약점 정보가 유출된 만큼 신속한 업데이트 적용이 중요하다.</p> <p contents-hash="5bf5d2302dd73120fa1fec533acd77fdb3934c178e32681a1a2eab296cc78205" dmcf-pid="qqvG3hx2Cd" dmcf-ptype="general">관련 위협은 실제 악용 정황과 함께 확산하고 있다. 아마존 위협인텔리전스는 지난 17일 자체 허니팟에서 악용 시도를 포착했다. 20일에는 취약점 세부 정보가 온라인에 유출됐다. 21일에는 클라우드플레어가 긴급 방화벽 규칙을 적용하고 PHP 측이 보안 권고문을 발표했다. 이후 워치타워(watchTowr)와 SOCRadar가 실제 환경에서 익스플로잇 도구가 악용된 사례를 잇따라 보고했다. 24일에는 팔로알토네트웍스 장비 역시 해당 취약점의 영향을 경고했다.</p> <p contents-hash="3d52c8dc8e042a3c93a2f03cd5013d6427ca6b01c72bef1f0b8e2ca76fe138d3" dmcf-pid="BBTH0lMVWe" dmcf-ptype="general">보안 전문가들은 시스템 환경상 런타임 패치를 즉시 적용하기 어려운 기업은 임시 완화 조치를 병행해야 한다고 입을 모은다. Nginx 등 리버스 프록시와 애플리케이션 단계에서 요청을 통제하는 방식으로 공격 경로를 차단하는 것도 방법이 될 수 있다.</p> <p contents-hash="a5a416adce817362ae5f99623354fc57d5b3fccb132cd31eb3a23517137c1012" dmcf-pid="bbyXpSRfyR" dmcf-ptype="general">한편 해당 취약점을 표적으로 삼은 사이버 공격을 준비하는 정황도 포착됐다. 사이버보안 기업 사이퍼마에 따르면, 익명성이 보장되는 폐쇄형 네트워크인 I2P 내부에서 한국어를 사용하는 특정 조직원들이 PHP 취약점을 악용한 사이버 공격을 모의한 것으로 나타났다.</p> <p contents-hash="76d928443a7f60748c5f6b4342429a1f60c8523b7f53739f0708c54abeaf0c42" dmcf-pid="KKWZUve4hM" dmcf-ptype="general">주요 표적은 정부 기관과 은행 등 금융기관이다. 제조업, 물류·해운업, 공항·항공 분야, 온라인 거래 플랫폼, 무역회사, 건설사 등 산업 전반도 공격 대상으로 지목됐다. 공격 대상 지역에는 한국을 비롯해 미국, 일본, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등이 포함됐다.</p> <p contents-hash="e8deea8eeed256d226d6ce2b94bfa3fb204e988e1996f35fc6d4690ae67a7834" dmcf-pid="99Y5uTd8Tx" dmcf-ptype="general">사이퍼마는 이번 공격 준비 활동의 주체가 북한 라자루스 그룹 생태계에 속하거나 연계됐을 가능성을 제기했다. 다만 배후 판단의 신뢰도는 '중간(Moderate)' 수준으로 평가했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 '꿈의 배터리' 전고체전지 전해질, 스티커처럼 붙여 만든다 10-26 다음 더존비즈온, 침해사고 사과…“정부 조사 협조·고객 보호 최선” 10-26 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
