"서버 생태계 전반 위협"...PHP이어 노드.js서도 보안 취약점 발견

티오리 "자체 재현 및 검증 완료...기업과 기관 위한 긴급 대응 가이드 공개"

PHP에 이어 자바스크립트 서버 실행 환경인 노드.js(Node.js)에서도 보안 취약점이 발견됐다.Node.js는 자바를 서버에서 실행할 수 있게 해주는 환경이다. 웹과 클라우드 개발에서 상당히 중요한 위치를 차지하고 있다.

AI 기반 오펜시브 사이버 보안 기업 티오리(Theori, 대표 박세준)는 웹 서버 및 백엔드 개발에 광범위하게 쓰이는 Node.js 런타임의 치명적 취약점인 ‘Node2shell(CVE-2026-111497)’에 대해 자체 재현 및 검증을 완료하고, 기업·기관을 위한 긴급 대응 가이드를 공개했다고 26일 밝혔다.

이번에 발견된 Node2shell은 Node.js에 탑재되거나 링크된 브로틀리(Brotli) 압축 해제(디코더) 모듈의 'Out-of-bounds write(경계 외 쓰기)' 결함에서 비롯됐다. Brotli는 웹에서 데이터를 작게 압축해 전송할 때 사용하는 기술이다. Node.js 공식 기준 위험도는 '높음'으로 분류됐다.

공격자는 별도 인증 절차 없이 악의적으로 조작된 Brotli 데이터를 전송해 서버를 다운시키거나(서비스 거부), 메모리 노출 및 원격 코드 실행을 통해 서버 제어권을 장악할 수 있다고 티오리는 밝혔다.

특히 이 취약점은 개발자가 작성한 애플리케이션 코드의 하자 여부와 관계없이 Node.js 런타임 버전 자체 영향으로 발생한다. Node.js 환경에서 Brotli 데이터가 디코더까지 도달하는 경로가 존재할 경우 공격이 성립하며, 최근 널리 쓰이는 Express 5의 body-parser, Node.js 전역 fetch() 메서드, 주요 HTTP 클라이언트 라이브러리(axios, got, node-fetch 등)가 대표적인 노출 경로로 확인됐다고 티오리는 설명했다.

영향을 받는 버전은 Node.js 22.x, 24.x, 26.x 라인 중 최신 보안 패치가 적용되지 않은 버전들이다. Node.js 보안팀은 해당 취약점을 수정한 최신 보안 패치 버전(22.23.4, 24.22.1, 26.12.1 이상)을 즉시 배포하고 전면 업데이트를 강력히 권고했다. 공식 지원이 종료된 Node 20 이하 버전은 사용 중인 OS 배포판이나 LTS 지원 업체의 보안 업데이트 유무를 즉시 확인해야 한다.

티오리는 시스템 환경상 즉각적인 Node.js 패치가 어려운 기업들을 위해, 패치 전까지 공격을 차단할 수 있는 리버스 프록시(Nginx 등) 및 애플리케이션 단의 임시 완화 방안을 함께 제시했다. 또한 별도 스크립트 설치 없이 운영 중인 서비스 URL만으로 Node2shell 노출 위험성을 무료로 점검할 수 있는 온라인 진단 서비스(nodejsguard.io)도 오픈했다.

티오리 임준오 AI & Cyber Research팀 총괄은 "이번 Node2shell 취약점은 개발자가 압축 기능을 직접 쓰지 않았더라도 웹 프레임워크가 응답을 처리하는 과정에서 자동으로 공격에 노출될 수 있어 사전 차단이 무엇보다 중요하다"고 설명했다. 이어 "공격자가 노릴 수 있는 경로를 가장 빠르게 진단할 수 있도록 무상 점검 서비스를 열었다. 임시 조치와 함께 최신 패치 적용을 서둘러야 한다"고 당부했다.

PHP2shell부터 Node2shell까지 최근 서버 생태계 전반을 위협하는 대형 취약점이 잇따라 발생하면서 기업들의 보안 부담이 그 어느 때보다 커졌다. 티오리는 "취약점의 단순 인지를 넘어, 현장에서 즉시 적용할 수 있는 검증된 임시 완화책과 무상 점검 도구를 신속하게 제공함으로써 국내외 IT 생태계가 보안 위협에 선제적으로 대응할 수 있도록 적극 나서고 있다"면서 "Node2shell 취약점의 세부 분석 내용과 점검 가이드, 침해 여부 확인 방법 등 상세한 정보는 티오리의 AI 모의해킹 플랫폼 ‘Xint(진트)’ 공식 기술 블로그를 통해 확인할 수 있다"고 말했다.