PHP 이어 Node.js도 보안 취약점…웹 서버 보안 비상 작성일 10-26 36 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">원격으로 악성 코드 실행, 정보 탈취 또는 시스템 침해 가능<br>오픈AI 코덱스팀이 제보…“AI 에이전트가 잠재적 위험 스스로 찾아내”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="3S8b4KhDl9"> <figure class="figure_frm origin_fig" contents-hash="300bc627edd9b093128cdef3e1f6e14b86f53cf25d1f43ec8622ce7ac8617a2c" dmcf-pid="0v6K89lwlK" dmcf-ptype="figure"> <p class="link_figure"><img alt="챗GPT로 생성한 이미지." class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/dt/20261026170642239wggd.png" data-org-width="640" dmcf-mid="FN3HFXgRT2" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/dt/20261026170642239wggd.png" width="658"></p> <figcaption class="txt_caption default_figure"> 챗GPT로 생성한 이미지. </figcaption> </figure> <p contents-hash="3729fd5c2755905e2a48f44fa0dac916f01fd8528ea2e629299661086cffe3fb" dmcf-pid="pTP962SrWb" dmcf-ptype="general"><br> 웹사이트 및 서버 개발에 사용되는 ‘노드(Node).js’도 외부 공격자가 서버를 원격으로 제어할 수 있다는 취약점이 발견됐다. 인공지능(AI)이 PHP에 이어 이번에도 취약점을 발견했다.</p> <p contents-hash="af69dafbfac780eed10dc908cbb7948b84d72ae3586bb3f4c0c7d42db67191ed" dmcf-pid="UyQ2PVvmWB" dmcf-ptype="general">Node.js는 자바스크립트 프로그래밍 언어를 웹페이지 밖에서도 실행할 수 있는 환경으로, 웹 서버 또는 애플리케이션의 백엔드 개발 등에 활용된다. PHP와 Node.js 모두 웹 서비스 기능을 구현하는 데 사용되는 기술이다. PHP는 개발 언어라면, Node.js는 실제 실행 환경이라는 차이가 있다.</p> <p contents-hash="bec93850522f4056c43c257255bf6bd9dd8a6beade710d8944f5ebebe862799a" dmcf-pid="uWxVQfTshq" dmcf-ptype="general">26일 보안업계에 따르면 Node.js는 지난 21일 공식 블로그를 통해 보안 업데이트를 발표하며 인증기관(CA) 해킹 이슈에 대응하겠다고 밝혔다. 이번 보안 업데이트에는 CA 해킹에 노출된 취약점을 해결하기 위한 종속성 패치가 포함돼 있다. CA 해킹은 웹사이트의 신원을 증명하고 암호화 통신을 가능하게 해주는 CA를 공격자가 장악해 기밀 정보를 탈취하는 행위를 일컫는다.</p> <p contents-hash="b7abdc1a9e03fe0b2f28494b2591ec989d7149a34fd8c2c928641eba08284c29" dmcf-pid="7YMfx4yOhz" dmcf-ptype="general">이번 업데이트는 오픈AI가 신고한 취약점인 ‘CVE-2026-111497’와 연관돼 있다. 이 취약점은 브로틀리(Brotli) 압축 해제 모듈에서 원격 코드 실행을 허용하는 취약점이다. 공격자가 이 취약점을 악용하면 서버 프로그램의 비정상 종료, 프로세스 메모리 정보 유출, 공격자의 악성 코드 원격 실행 등을 할 수 있다.</p> <p contents-hash="da7153e33a28072e5bc30cfe2684b7de1f4f4ba191afedacc0c51be52972636c" dmcf-pid="zJHSGve4y7" dmcf-ptype="general">공격자가 취약점을 악용해 원격 코드 실행으로 연결하는 데 성공한다면 단순한 서비스 장애를 넘어 서버에 저장된 정보 탈취나 내부 시스템 침해 등으로 이어질 수 있어 몹시 위험하다. 이 공격은 공격자가 조작한 브로틀리 데이터를 서버에서 처리할 때 내부 메모리 버퍼의 범위를 넘어서게 하는 방식이다.</p> <p contents-hash="fe0f375bba03e96409f4c64229716120e144fa6be1d5242d5f4118e61cb4269a" dmcf-pid="qiXvHTd8hu" dmcf-ptype="general">다만 취약점이 존재한다고 해서 모든 Node.js 서버에서 즉시 원격 코드 실행이 가능한 것은 아니다. 공격자가 조작한 압축 데이터를 해당 경로로 처리하도록 만들 수 있는 환경 등 조건이 필요하다는 설명이다.</p> <p contents-hash="9cdfda94bf95edd73de2964f56ca803dce62a0252d587b49b963ee46778b29e3" dmcf-pid="BnZTXyJ6yU" dmcf-ptype="general">이 취약점을 제보한 오픈AI 코덱스 보안팀은 최상위 AI 모델의 통제망 탈출 테스트 과정에서 AI 에이전트들이 브로틀리의 잠재적 취약점을 스스로 찾아냈다고 밝혔다.</p> <p contents-hash="0bd7ab19acc53cbe33ad0de521df15fd2e0ef2000408cb7ec9d6a15245eed516" dmcf-pid="bL5yZWiPSp" dmcf-ptype="general">Node.js 측은 오픈AI가 제보한 취약점을 포함해 10개 중 4개의 취약점 위험도를 ‘높음’으로 분류하고 영향을 받는 22.23.4, 24.22.1, 26.12.1 버전에 대한 보안 패치를 배포했다. 전송 계층 보안(TLS) 인증서 관련 문제도 여러 건이 발견됐다.</p> <p contents-hash="e7609db25bc55a1f26662f0908ee2fa7945745d3f99af179368fa3838e3cd2b1" dmcf-pid="Ko1W5YnQv0" dmcf-ptype="general">한국인터넷진흥원(KISA)도 이 취약점들에 대한 보안 공지를 내고 영향을 받는 Node.js 버전의 사용자들에게 최신 보안 업데이트 적용을 권고했다.</p> <p contents-hash="20e659813110c61a95b0b54c56b7083714335fb28380a51c02ba663c51d47ed5" dmcf-pid="9gtY1GLxW3" dmcf-ptype="general">국내 보안업체 티오리는 이날 노드투셸(Node2Shell) 취약점에 대한 자체 재현 및 검증을 완료하고 기업과 기관을 위한 긴급 대응 방안을 발표했다. 개발자가 직접 작성한 프로그램 코드에 문제가 없더라도 Node.js 실행 환경 자체의 결함으로 공격에 노출될 수 있다는 게 티오리 측 설명이다.</p> <p contents-hash="40da7751106827aabd45a5aea50072dfdceb0e49a496c3df5e2fb649cd48f65a" dmcf-pid="2aFGtHoMhF" dmcf-ptype="general">특히 외부에서 전달된 압축 데이터를 자동으로 해제하는 기능을 사용하는 경우 취약점 악용 가능성을 점검해야 한다고 당부했다.</p> <p contents-hash="0a6241913b754e04fb9f3a1cc08ddebc2003cda12528410c668fe10e2fdbd2c6" dmcf-pid="VN3HFXgRlt" dmcf-ptype="general">회사는 별도 프로그램 설치 없이 운영 중인 서비스의 웹 주소만 입력하면 취약점 노출 위험성을 무료로 점검할 수 있는 온라인 진단 서비스 ‘Node.js 가드’도 공개했다.</p> <p contents-hash="ff7db7ac61afeefe3241784e7efede0166f4fecd0a8d2cd702a2b86f1e557e53" dmcf-pid="fj0X3Zael1" dmcf-ptype="general">김영욱 기자 wook95@dt.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털타임스. 무단전재 및 재배포 금지.</p> 관련자료 이전 오라클, 국내 클라우드 사업 확대 속도…AI 스타트업 고객 확보 박차 10-26 다음 임문영 의원, 여야 35인과 '국회 AI 미래전환' 출범…산업AX·사회격차 해소 입법 추진 10-26 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
