브로틀리 원격 코드 실행 취약점…노드 보안 업데이트 배포

토큰포스트 속보 2026.10.24 08:26

Node.js의 Brotli 디코더에서 원격 코드 실행으로 이어질 수 있는 취약점이 확인됐다. Node.js는 22·24·26 버전대 수정판을 배포했다.

토포AI로 이 기사 더 깊이 읽기

압축 데이터 파일을 차단하는 노트북 화면 / TokenPost.ai (macro)

Node.js에 내장된 브로틀리(Brotli) 디코더에서 악성 압축 데이터를 처리할 때 원격 코드 실행으로 이어질 수 있는 취약점이 발견됐다. Node.js 프로젝트는 10월 21일 보안 공지에서 이 취약점을 고위험으로 분류하고 수정 버전을 배포했다고 밝혔다.

Node.js는 해당 취약점이 22.x·24.x·26.x 버전에 영향을 준다고 공지했다. 수정 버전은 각각 22.23.4, 24.22.1, 26.12.1이다. 취약점 번호는 CVE-2026-111497이다.

임퍼바(Imperva)는 10월 22일 분석 글에서 공식 Node.js 24.22.0 리눅스 ARM64 이미지에 악성 Brotli 데이터를 전달해 코드 실행을 시연했다고 밝혔다. 임퍼바는 시도마다 성공한 것은 아니며, 수정 버전인 24.22.1은 같은 데이터를 거부했다고 설명했다.