[PHP 취약점 파장] 노드.js도 보안 취약점 발견…서버 공격 가능성

[아이뉴스24 곽민구 기자] 웹사이트와 서버 개발에 사용되는 '노드(Node).js'에서 외부 공격자가 악성 코드를 실행할 수 있는 보안 취약점이 발견됐다. 최근 PHP에서도 보안 결함이 확인된 가운데 기업과 기관의 서버 보안 점검 필요성이 커지고 있다.

26일 보안업계에 따르면 노드.js 개발진은 지난 21일 공식 보안 공지를 통해 압축 데이터 처리 과정에서 발생하는 취약점 'Node2Shell(CVE-2026-111497)'을 공개했다. 위험도는 '높음(High)'으로 분류됐다.

노드.js는 자바스크립트 프로그래밍 언어를 웹브라우저 밖에서도 실행할 수 있도록 하는 소프트웨어 환경이다. 웹사이트와 서버 프로그램 개발 등에 활용된다.

이번 취약점은 데이터를 압축하고 해제하는 '브로틀리(Brotli)' 기능에서 발생한다. 공격자가 조작된 압축 데이터를 서버에 전달하면 프로그램이 비정상 종료되거나 메모리 정보가 유출될 수 있다. 특정 조건에서는 원격으로 악성 코드를 실행해 서버 제어권을 확보할 가능성도 있다.

국내 사이버보안 기업 티오리는 해당 취약점을 직접 재현·검증하고 긴급 대응 방안을 공개했다.

티오리는 "취약점을 해결하려면 노드.js를 보안 패치가 적용된 최신 버전으로 업데이트하고 서버 프로그램을 재시작해야 한다"며 "즉각적인 업데이트가 어려운 경우 외부에서 전달되는 브로틀리 압축 데이터가 취약한 기능에 도달하지 못하도록 차단하는 임시 조치를 적용할 수 있지만, 근본적인 해결을 위해서는 보안 패치가 필요하다"고 설명했다.

영향을 받는 버전은 보안 패치가 적용되지 않은 노드.js 22·24·26 계열이다. 노드.js 개발진은 취약점을 수정한 22.23.4, 24.22.1, 26.12.1 버전을 배포했다.

티오리는 별도 프로그램 설치 없이 웹사이트 주소(URL)를 입력하면 취약점 노출 가능성을 무료로 점검할 수 있는 온라인 진단 서비스 '노드.js 가드'도 선보였다.