Node.js, 10개 취약점 수정한 보안 업데이트 공개

Node.js가 2026년 10월 21일(UTC) 보안 업데이트 v22.23.4, v24.22.1, v26.12.1을 공개했다고 forest.watch.impress.co.jp가 보도했다. 이번 업데이트로 모두 10개의 취약점이 수정된다. 버전별로는 v26 계열 10개, v24 계열 8개, v22 계열 7개다.

심각도는 High 4개, Medium 3개, Low 3개로 구성된다. 가장 눈에 띄는 것은 CVE-2026-111497로, Node.js의 Brotli 디코더에서 발생하는 범위 초과 쓰기(out-of-bounds write) 취약점이며 원격 코드 실행으로 이어질 수 있다.

TLS 인증서 검증 우회 등 주요 취약점

High 등급에는 TLS 인증서 호스트명 검증 우회가 두 건 포함됐다. CVE-2026-105483은 IP 주소를 전각 숫자로 표기했을 때 검증을 우회하는 문제로 v26과 v24에 영향을 주며, CVE-2026-106069는 호스트가 IP 주소로 느슨하게 해석될 때 발생한다. CVE-2026-105482는 NUL 문자가 포함된 이름을 dns.resolve가 잘라내는 문제다.

Medium 등급에는 요청 전에 작성된 응답이 처리되는 keep-alive 소켓 문제(CVE-2026-105481), 정규 형식이 아닌 IPv4 호스트명에서 DNS SAN으로 IP 엔드포인트를 인증할 수 있는 인증서 검증 문제(CVE-2026-106072), crypto.randomUUID()와 randomInt()의 엔트로피 캐시가 사용자 영역 시작 스냅샷과 SEA에 저장돼 같은 값이 반복되는 문제(CVE-2026-106074)가 있다.

Low 등급으로는 ZIP 헤더 검증 실패 후 공격자가 제어하는 접두 바이트를 반환하는 ZipFile 문제(CVE-2026-106070, v26 전용), 와일드카드 radix 조회로 파일 시스템 권한이 과도하게 부여되는 Permission Model 문제(CVE-2026-106071, v26 전용), fs.realpathSync를 이용한 Permission Model 우회(CVE-2026-106073)가 꼽혔다.

의존성도 함께 갱신됐다. c-ares 1.34.9, ca-cert, OpenSSL 3.5.9, SQLite 3.53.4, undici 8.12.2/7.30.1/6.29.1이 반영됐으며, ca-cert 업데이트는 eMudhra 중간 인증기관의 침해 사고에 대응하기 위한 조치다. 이번 업데이트는 사전 예고대로 진행됐다.