Node.js 22·24·26 Brotli 취약점 수정 버전 배포
제목 연관성·주요 수치·시장 영향·향후 전망을 기준으로 핵심 문장을 선별한 요약 브리핑입니다.
핵심 포인트
- Node.js 프로젝트가 원격 코드 실행으로 이어질 수 있는 Brotli 디코더 취약점의 수정 버전을 공개했다.
- 영향받는 22·24·26 계열은 각각 22.23.4, 24.22.1, 26.12.1 이상으로 업데이트해야 한다.
- Node.js 프로젝트가 원격 코드 실행으로 이어질 수 있는 Brotli 디코더 취약점 CVE-2026-111497의 수정 버전을 배포했다.
본문
Node.js 프로젝트가 원격 코드 실행으로 이어질 수 있는 Brotli 디코더 취약점의 수정 버전을 공개했다. 영향받는 22·24·26 계열은 각각 22.23.4, 24.22.1, 26.12.1 이상으로 업데이트해야 한다. Node.js 프로젝트가 원격 코드 실행으로 이어질 수 있는 Brotli 디코더 취약점 CVE-2026-111497의 수정 버전을 배포했다. Node.js 프로젝트는 21일 공개한 보안 공지에서 오픈AI(OpenAI) Codex Security의 연구원 카이 트란과 실비 메이어를 발견자로 명시했다. 취약점은 Node.js에 포함된 Brotli 디코더에서 발생한다. 취약한 Node.js를 사용하더라도 외부에서 받은 Brotli 데이터를 해제하지 않는 서비스에는 공격 입력이 디코더에 도달하지 않는다.
보안업체 임퍼바(Imperva)는 22일 공개한 재현 실험에서 Node.js 24.22.0의 공식 Linux arm64 이미지에 조작된 Brotli 데이터를 전달해 코드 실행을 확인했다고 밝혔다.
실험에는 Node.js 내장 fetch()로 압축 응답을 읽는 경로와 Express 5·body-parser 2가 요청 본문을 해제하는 구성이 포함됐다. 일반적인 Node.js 서버가 요청을 받는 것만으로 Brotli 본문을 자동 해제하는 것도 아니다. Node.js 프로젝트가 제시한 수정 버전은 22.23.4, 24.22.1, 26.12.1이다. Node.js 프로젝트의 이번 보안 업데이트와 Brotli 취약점 내용은 앞서 본지가 전했다 . 운영자는 운영체제에 설치된 라이브러리뿐 아니라 애플리케이션과 컨테이너 이미지에 포함된 Node.js·Brotli 버전도 배포 환경에서 확인해야 한다.