CISA, Node2Shell 취약점 악용 확인…연방기관 11월 10일까지 패치
CISA가 브로틀리 취약점 CVE-2026-111497을 KEV 목록에 추가하고 미 연방 민간기관에 11월 10일까지 조치하도록 기한을 정했다.
미국 사이버보안·인프라보안국(CISA)이 2026년 10월 27일 브로틀리(Brotli) 압축 라이브러리의 취약점 CVE-2026-111497을 '실제 악용이 확인된 취약점'(KEV) 목록에 추가했다. Node2Shell 또는 Broccoli2Shell로 불리는 이 결함에 대해 CISA는 미국 연방 민간기관의 조치 기한을 2026년 11월 10일로 정했다.
이 취약점은 브로틀리 압축 해제 과정의 범위 초과 쓰기(out-of-bounds write)로, 메모리 손상과 민감 데이터 노출, 서비스 중단을 일으킬 수 있으며 특정 조건에서는 원격 코드 실행으로 이어질 수 있다. 잠재적 영향을 받는 제품으로는 Node.js, Bun, 마이크로소프트 .NET, PowerShell, Envoy Proxy, Istio, 파이썬 브로틀리 패키지 등이 거론된다.
VMware 제품군도 영향…SDDC Manager 패치 미완
브로드컴은 같은 날 권고문 VMSA-2026-0008을 통해 VMware Cloud Foundation의 SDDC Manager가 영향을 받는다고 밝혔다. SDDC Manager 9.1.1에는 CVSS 9.8, 9.0.x와 9.1.0, 5.2.x에는 CVSS 7.5가 각각 부여됐다. 2026년 10월 28일 기준 SDDC Manager용 전체 패치는 아직 준비 중이며, 임시 완화 조치가 제공되고 있다.
영향을 받는 구글 브로틀리 버전은 1.0.3부터 1.0.10 미만, 1.1.0부터 1.1.1 미만, 1.2.0부터 1.2.1 미만이다. 레드햇은 공개된 개념증명(PoC) 코드가 메모리 손상과 서비스 중단을 보여줬으나, 신뢰할 수 있는 원격 코드 실행 공격 코드는 아직 공개적으로 확인되지 않았다고 밝혔다.
캐나다 사이버보안센터는 2026년 10월 28일 별도의 긴급 경보를 내고 브로틀리 라이브러리를 사용하는 소프트웨어에 대한 보안 점검을 권고했다. 앞서 한국인터넷진흥원(KISA)은 2026년 10월 26일 구글 브로틀리 취약점에 대한 보안 업데이트 권고를 게시했다. 이번 소식은 dailysecu.com이 전했다.
한눈에 보기
CVE-2026-111497 조치 기한은 언제인가?
CISA는 미국 연방 민간기관에 2026년 11월 10일까지 조치하도록 기한을 정했다.
영향을 받는 브로틀리 버전은?
1.0.3부터 1.0.10 미만, 1.1.0부터 1.1.1 미만, 1.2.0부터 1.2.1 미만이다.
VMware SDDC Manager 패치는 나왔나?
2026년 10월 28일 기준 전체 패치는 준비 중이며 임시 완화 조치가 제공되고 있다.