Node.js 압축 처리 취약점과 보안 패치 대응

문제가 된 취약점은 '노드투셸(Node2Shell)'로, 식별번호는 CVE-2026-111497입니다. Node.js 개발진은 위험도를 '높음'으로 분류하고 이를 수정한 보안 패치를 배포했습니다. 한국인터넷진흥원(KISA)도 보안 공지를 통해 영향을 받는 버전의 사용자에게 최신 보안 업데이트를 적용하라고 권고했습니다.

결함은 Node.js에 포함되거나 연결된 브로틀리 압축 해제 모듈에서 발생했습니다. 브로틀리는 웹에서 주고받는 데이터의 크기를 줄이는 압축 방식입니다. 조작된 데이터를 풀 때 정해진 메모리 범위 밖에 데이터를 써 프로그램 메모리가 손상될 수 있으며, 공격자는 별도 인증 없이 서버를 중단시키거나 원격으로 악성 코드를 실행하는 데 이를 악용할 수 있습니다.

취약한 Node.js를 쓴다는 사실만으로 모든 서버에서 같은 공격이 가능한 것은 아닙니다. 조작된 브로틀리 데이터가 압축 해제 모듈에 도달하는 경로가 있어야 하며, 실제 공격 가능성은 압축 데이터 처리 방식과 실행 환경에 따라 달라집니다. 따라서 서버 제어권을 빼앗을 수 있다는 설명은 취약점의 악용 가능성을 뜻하며, 개별 웹사이트가 이미 장악됐다는 의미는 아닙니다.

보안 기업 티오리는 개발자가 압축 해제 기능을 직접 호출하지 않아도 공격에 노출될 수 있다고 설명했습니다. Node.js의 기본 서버는 압축을 자동으로 풀지 않지만, 웹 서버 제작 도구가 이용자의 요청 데이터를 대신 풀어주면 공격 데이터가 문제의 모듈까지 전달될 수 있다는 것입니다. 티오리는 익스프레스 5의 요청 데이터 처리 기능인 body-parser 등을 이런 노출 경로로 제시했습니다.

티오리는 서버가 외부 데이터를 받아오는 과정도 공격 경로가 될 수 있다고 설명했습니다. 외부 서버가 보낸 압축 응답을 fetch()나 axios·got·node-fetch 같은 통신 기능이 풀면서 결함이 발생할 수 있다는 것입니다. 이 경우에는 웹사이트로 들어오는 요청을 앞단에서 걸러내는 조치만으로 모든 경로를 막을 수 없으므로, 티오리는 임시 완화 조치와 보안 패치 적용을 함께 제시했습니다.

업데이트 대상은 최신 보안 패치를 적용하지 않은 Node.js 22·24·26 계열입니다. Node.js 보안팀이 배포한 수정 버전은 각각 22.23.4, 24.22.1, 26.12.1이며, 해당 버전 이상으로 업데이트하라고 권고했습니다. 일부 설명은 이 버전 번호와 패치 배포 사실을 함께 적고 있지만, 대응 가이드는 이 번호들을 수정된 버전으로 명시하고 있어 취약한 버전과 구분해야 합니다.