PHP 이어 Node.js도 보안 취약점 발견…긴급 업데이트 권고 작성일 10-26 43 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">개발자 코드 문제없어도 공격 노출 가능</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="zBAwfbCEap"> <figure class="figure_frm origin_fig" contents-hash="59583d54db0ee43433362d880264d64da9607acea1fe5b196aa387c268f9033c" dmcf-pid="qbcr4KhDc0" dmcf-ptype="figure"> <p class="link_figure"><img alt="컴퓨터 코드 화면. 기사의 이해를 돕기 위한 이미지. 연합뉴스" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/fnnewsi/20261026141206512ohee.jpg" data-org-width="800" dmcf-mid="75Rnp1jJNU" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/fnnewsi/20261026141206512ohee.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 컴퓨터 코드 화면. 기사의 이해를 돕기 위한 이미지. 연합뉴스 </figcaption> </figure> <div contents-hash="76addf22bcf229d8c433c4ea62e13faf96e872e246ec5812f62842a4b9af8b1d" dmcf-pid="BKkm89lwa3" dmcf-ptype="general"> <br>[파이낸셜뉴스] 웹사이트와 서버 개발에 사용되는 소프트웨어 실행 환경 'Node.js'에서 외부 공격자가 서버를 장악할 수 있는 취약점이 발견됐다. 최근 프로그래밍 언어 PHP에 이어 Node.js에서도 중대한 취약점이 잇따라 확인되면서 기업들의 신속한 보안 점검과 업데이트가 요구된다. </div> <p contents-hash="1f5e0611f6fa3de6bd976fa5e93d93903bc30ca0a6f7a70d5ea47ba0d19c266b" dmcf-pid="b9Es62SrkF" dmcf-ptype="general">26일 보안업계에 따르면 Node.js 프로젝트는 지난 21일 공식 보안 공지를 통해 압축 데이터를 해제하는 '브로틀리' 모듈에서 원격 코드 실행이 가능한 취약점(CVE-2026-111497)이 발견됐다고 밝혔다. </p> <p contents-hash="1dbcb79886f6c79f6a7d66cead53ea99b2eae756204c1d81c976cac47b22f7e8" dmcf-pid="K2DOPVvmgt" dmcf-ptype="general">Node.js는 자바스크립트 프로그래밍 언어를 웹브라우저 밖에서도 실행할 수 있도록 하는 소프트웨어 환경으로, 웹 서버와 애플리케이션 개발에 널리 활용된다. </p> <p contents-hash="8941f8038e0961fdfdb00091e3022c23a36810c7423898753cd71bd2f6b4bf54" dmcf-pid="9VwIQfTsc1" dmcf-ptype="general">이번 취약점은 압축된 데이터를 원래 상태로 되돌리는 과정에서 발생하는 오류에서 비롯됐다. 공격자가 악의적으로 조작한 압축 데이터를 서버에 보내면 별도 인증 없이 서버를 비정상 종료시키거나 메모리를 노출시킬 수 있다. 특정 조건에서는 악성 코드를 원격으로 실행해 서버 제어권까지 탈취할 가능성이 있다. 개발자가 압축 기능을 직접 사용하지 않더라도 공격에 노출될 수 있다는 점이 특징이다. 다만 실제 공격 가능성은 서버의 데이터 처리 방식과 실행 환경에 따라 달라진다. </p> <p contents-hash="1e1441d482f5ba48f085f12203b1be90ef7801da1115322bdc42a4a602ce967a" dmcf-pid="27ak9zsAo5" dmcf-ptype="general">해당 취약점은 오픈AI 코덱스 보안팀이 제보했다. 앞서 오픈AI는 인공지능(AI) 에이전트들이 브로틀리의 잠재적 취약점을 스스로 발견했다고 밝힌 바 있다. </p> <p contents-hash="750b066c8e1d6efde0112e08ba1fff28478147d8a0090e2415acd37891db7b84" dmcf-pid="VzNE2qOckZ" dmcf-ptype="general">Node.js 개발진은 취약점 위험도를 '높음'으로 분류하고, 이를 수정한 22.23.4·24.22.1·26.12.1 버전을 배포했다. 해당 버전보다 오래된 22.x·24.x·26.x 계열 사용자는 최신 보안 업데이트를 적용해야 한다. </p> <p contents-hash="4b82dbd47be05e6dcadcc120eb576a8293b63574a222b024c5793c9d5a41c48d" dmcf-pid="fqjDVBIkjX" dmcf-ptype="general">한국인터넷진흥원(KISA)도 관련 보안 공지를 내고 영향을 받는 Node.js 버전 이용자들에게 업데이트를 권고했다. </p> <p contents-hash="71411bfff4c45cfce6fd28e56294ba367cfebe222e9844d521f6bd206b5a2842" dmcf-pid="4BAwfbCEjH" dmcf-ptype="general">국내 보안업계도 대응에 나섰다. 보안업체 티오리는 이날 'Node2Shell'로 불리는 이번 취약점의 자체 재현 및 검증을 완료하고 긴급 대응 가이드를 공개했다. 즉각적인 업데이트가 어려운 기업을 위한 임시 대응 방안과 함께 서비스 인터넷 주소(URL)만 입력하면 취약점 노출 위험을 무료로 점검할 수 있는 온라인 진단 서비스도 선보였다. </p> <p contents-hash="1803f781601c15508c22f99676ebc56c5a783059680446c4a95d9d7574f70513" dmcf-pid="8bcr4KhDcG" dmcf-ptype="general">임준오 티오리 AI앤사이버 리서치팀 총괄은 "이번 취약점은 개발자가 압축 기능을 직접 쓰지 않았더라도 웹 프레임워크가 응답을 처리하는 과정에서 자동으로 공격에 노출될 수 있어 사전 차단이 무엇보다 중요하다"며 "임시 조치와 함께 최신 패치 적용을 서둘러달라"고 당부했다.</p> <p contents-hash="8e09be3843f259bb02dc583e069a19f612b7521bcb7a1b929d1e6e46aca8bac6" dmcf-pid="6Kkm89lwNY" dmcf-ptype="general">kaya@fnnews.com 최혜림 기자</p> </section> </div> <p class="" data-translation="true">Copyright © 파이낸셜뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 젠슨 황도 주목한 ‘오리 로봇’…아빠는 韓 관절 확보전 10-26 다음 "기업 내 흩어진 업무, AI가 통합하고 수행"…조호, 에이전틱 AI 전략 제시 10-26 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
