인증 없이 원격 코드 실행 가능…위험도 '높음'
오픈AI 코덱스 보안팀 발견…국내 보안업계 긴급 대응
[강민지 제작] 일러스트
(서울=연합뉴스) 권하영 기자 = 웹사이트와 서버 개발에 널리 사용되는 소프트웨어 실행 환경인 'Node.js'에서 외부 공격자가 서버를 원격으로 제어할 수 있는 보안 취약점이 발견돼 주의가 요구된다.
26일 보안업계에 따르면 Node.js 프로젝트는 지난 21일 공식 보안 공지를 통해 Node.js에 포함된 브로틀리(Brotli) 압축 해제 모듈에서 원격 코드 실행을 허용할 수 있는 취약점(CVE-2026-111497)이 발견됐다고 밝혔다.
Node.js는 자바스크립트 프로그래밍 언어를 웹브라우저 밖에서도 실행할 수 있도록 하는 소프트웨어 환경으로, 웹 서버와 애플리케이션의 백엔드 개발 등에 폭넓게 활용된다.
공격자는 이 취약점을 악용해 별도의 인증 절차 없이 서버를 비정상 종료시키거나 악성 코드를 원격으로 실행할 수 있다. 다만 실제 공격 가능성은 서버의 압축 데이터 처리 방식과 실행 환경 등에 따라 달라진다.
해당 취약점을 제보한 연구진은 오픈AI 코덱스 보안팀이다. 앞서 오픈AI는 최상위 인공지능(AI) 모델의 통제망 탈출 테스트 과정에서 AI 에이전트들이 브로틀리의 잠재적 취약점을 스스로 찾아냈다고 밝힌 바 있다.
Node.js 개발진은 취약점 위험도를 '높음'(High)으로 분류하고, 영향을 받는 22.23.4, 24.22.1, 26.12.1 버전에 대한 보안 패치를 배포했다.
한국인터넷진흥원(KISA)도 해당 취약점에 대한 보안 공지를 내고, 영향을 받는 Node.js 버전의 사용자들에게 최신 보안 업데이트 적용을 권고했다.
국내 보안업체 티오리는 이날 Node2Shell 취약점에 대한 자체 재현 및 검증을 완료하고, 기업과 기관을 위한 긴급 대응 방안을 발표했다.
티오리는 개발자가 직접 작성한 프로그램 코드에 문제가 없더라도 Node.js 실행 환경 자체의 결함으로 공격에 노출될 수 있다고 설명했다.
특히 외부에서 전달된 압축 데이터를 자동으로 해제하는 기능을 사용하는 경우 취약점 악용 가능성을 점검해야 한다고 강조했다.
아울러 별도 프로그램 설치 없이 운영 중인 서비스의 인터넷 주소(URL)만 입력하면 취약점 노출 위험성을 무료로 점검할 수 있는 온라인 진단 서비스 'Node.js 가드'를 공개했다.
kwonhy@yna.co.kr