Node.js, Node2Shell 원격코드실행 취약점 패치
노드 재단은 10월 21일 보안 업데이트를 내놨으며, 패치 버전은 22.23.4, 24.22.1, 26.12.1이다.
Node.js에서 고위험 원격 코드 실행 취약점인 'Node2Shell'(CVE-2026-111497)이 발견돼 패치됐다. Node.js 팀은 10월 21일 보안 업데이트를 배포하며 해당 취약점의 위험도를 High로 분류했다고 dailysecu.com이 보도했다.
취약점은 Node.js의 Brotli 압축 해제 기능에서 발생하며, 경계를 벗어난 메모리 쓰기(out-of-bounds memory write)를 유발할 수 있다. 임퍼바 연구진은 실제 환경에서 원격 코드 실행을 시연했다고 밝혔다.
영향 범위는 Brotli를 직접 사용하지 않는 경우에도 넓다. Express 5 기반 웹 서비스는 자동으로 영향을 받을 수 있으며, Node.js 내장 fetch()와 axios 같은 라이브러리도 외부 서버의 압축 응답을 처리하는 과정에서 노출될 수 있다.
패치 버전은 22.23.4, 24.22.1, 26.12.1이다. 업데이트 후에는 Node.js 프로세스를 재시작해야 하며, 컨테이너 이미지도 다시 배포해야 한다.
취약점은 OpenAI Codex Security의 Khai Tran과 Sylvie Mayer가 발견해 보고했다. 앞서 PHP에서는 'PHP2Shell'로 불린 치명적 보안 취약점이 공개된 바 있다.
한눈에 보기
Node2Shell 취약점의 패치 버전은?
22.23.4, 24.22.1, 26.12.1 세 가지 버전이 공개됐다. 업데이트 후 프로세스를 재시작하고 컨테이너 이미지를 재배포해야 한다.
Brotli를 쓰지 않아도 영향을 받나?
Express 5 웹 서비스는 자동으로 영향을 받을 수 있고, 내장 fetch()나 axios로 외부 서버의 압축 응답을 처리할 때도 노출될 수 있다.