CVE-2026-111497: Node.js Brotli 디코더 결함으로 원격 코드 실행 가능

Node.js는 CVE-2026-111497에 대한 보안 업데이트를 발표했습니다. 이는 번들된 Brotli 디컴프레션 코드에서 발견된 고심각성 취약점으로, 원격 코드 실행을 가능하게 할 수 있습니다. 이 결함은 특히 조작된 Brotli 압축 데이터를 처리할 때 취약한 디코더로 인해 발생하는 경계 외부 쓰기로, 치명적인 결과를 초래할 수 있습니다.

이 문제는 현재 지원되는 모든 Node.js 브랜치인 22.x, 24.x 및 26.x에 영향을 미칩니다. Node.js는 2026년 10월 21일의 보안 릴리스 일부로 이 취약점을 22.23.4, 24.22.1 및 26.12.1 버전에서 해결했으며, 총 10개의 취약점을 수정했습니다.

Brotli 압축은 일반적으로 HTTP 트래픽에 사용되기 때문에 이 위험은 특히 관련이 있습니다. Node.js 애플리케이션은 node:zlib을 통해 취약한 디코더를 직접 호출하거나 fetch()가 Content-Encoding: br로 응답을 받을 때 자동으로 호출될 수 있습니다. 따라서 공격자 제어하의 Brotli 콘텐츠가 인바운드 요청, 원격 응답, 프록시 워크플로 또는 기타 데이터 처리 경로를 통해 디코더에 도달할 때 애플리케이션이 노출될 수 있습니다.

CVE-2026-111497 탐지를 위해 보안 팀은 신뢰할 수 없는 압축 콘텐츠를 처리하는 Node.js 애플리케이션에 우선순위를 두고, Brotli 디컴프레션 직후 충돌, 비정상적인 메모리 동작, 비정상적인 하위 프로세스 및 의심스러운 활동을 모니터링해야 합니다.

SOC Prime의 AI-원주 검출 인텔리전스 플랫폼은 보안 팀이 SIEM, EDR 및 데이터 레이크 기술 전반에 배포 가능한 탐지 콘텐츠를 통해 새로운 취약점 악용 및 관련 사후 침해 행동에 대한 가시성을 강화하도록 지원합니다.

클릭 탐지 탐색 관련 탐지 콘텐츠 및 사냥 논리를 액세스합니다. CVE-2026-111497을 감지하려면, 방어자는 Node.js 애플리케이션 원격 측정 데이터를 엔드포인트, 프록시, 웹 및 네트워크 활동과 연관시켜 압축 HTTP 트래픽 주변의 의심스러운 동작을 식별해야 합니다.

보안 팀은 또한 프라임 아키텍트를 활용하여 새로운 취약점 인텔리전스를 Sigma 규칙과 사냥 쿼리로 변환하고 탐지 논리를 검증하며 관련 탐지 콘텐츠를 지원되는 보안 플랫폼 전체에 번역할 수 있습니다.

영업 문의

CVE-2026-111497 분석

취약점은 Node.js에 번들된 Brotli 디코더에 존재합니다. Brotli는 웹 콘텐츠 크기를 줄이기 위해 널리 사용되는 압축 알고리즘이며, Node.js는 라이브러리의 자체 복사본을 포함합니다.

손상된 압축 스트림은 디코더가 디컴프레션된 데이터에 할당된 메모리 버퍼 외부에 쓰기를 유발할 수 있습니다. 업스트림 수정을 통해 디코더는 잘못된 입력을 더 일찍 거부하도록 변경되어 안전하지 않은 메모리 쓰기 조건으로의 실행을 방지합니다.

CVE-2026-111497은 2026년 10월 21일의 보안 릴리즈 이전의 Node.js 22.x, 24.x 및 26.x에 영향을 줍니다. 수정된 버전은 다음과 같습니다:

• Node.js 22.23.4
• Node.js 24.22.1
• Node.js 26.12.1

Node.js 20.x 및 이전 릴리즈는 서비스 종료에 도달했으며 보안 업데이트를 받지 않기 때문에 이 버전을 사용하는 조직은 지원되는 브랜치로 마이그레이션해야 합니다.

근본적인 문제는 Node.js에만 국한되지 않습니다. 취약한 코드는 Brotli 프로젝트 자체에서 비롯되었으며, 해당 수정 사항은 Brotli 1.0.10, 1.1.1 및 1.2.1에 릴리스되었습니다. 취약한 Brotli 버전을 포함하는 다른 애플리케이션도 Node.js를 사용하지 않더라도 별도의 업데이트가 필요할 수 있습니다.

공격 표면은 압축 데이터가 애플리케이션에 도달하는 방식에 따라 달라집니다. Brotli 디컴프레션 API의 직접 사용은 하나의 분명한 경로입니다. 그러나 Node.js는 애플리케이션이 fetch()를 사용할 때 Brotli로 압축된 HTTP 응답을 자동으로 처리할 수도 있습니다.

이는 공격자가 제어하는 콘텐츠를 가져오는 애플리케이션에 특히 관련이 있습니다. 예에는 URL 미리보기 서비스, 크롤러, 웹훅 프로세서, 프록시 플랫폼, 콘텐츠 스캐너, 변환 서비스 및 원격 URL 제출을 허용하는 애플리케이션이 포함됩니다.

인바운드 트래픽은 웹 애플리케이션이나 미들웨어가 Brotli로 압축된 요청 본문을 수락하는 또 다른 경로를 생성할 수 있습니다. 따라서 보안 팀은 소스 코드에서 명시적인 Brotli 호출에 대한 노출 평가로 제한하지 않고 실제 애플리케이션 데이터 흐름을 조사해야 합니다.

CVE-2026-111497의 세부 사항은 서비스 충돌 이상의 결과를 초래할 수 있는 이유를 보여줍니다. 메모리 손상은 인접한 프로세스 상태에 영향을 줄 수 있으며, 플랫폼 보호 및 런타임 조건에 따라 메모리 노출 또는 임의 코드 실행을 초래할 수 있습니다.

Node.js는 이 취약점을 원격 코드 실행이 가능한 것으로 명시하고 있지만 실제 악용 가능성에는 뉘앙스가 필요합니다. 이 결함은 Node.js 프로젝트에 의해 고위험으로 평가되었지만, 치명적이지는 않습니다.

공개된 CVE-2026-111497 PoC는 공개 후 고의로 약화시킨 테스트 빌드에 대한 코드 실행을 이루었습니다. 표준 Node.js 빌드에 대해 연구자는 충돌 및 제한된 프로세스 메모리 노출을 보고했지만 신뢰할 수 있는 코드 실행에는 성공하지 못했습니다. 이는 메모리 손상 원리가 입증된 동시에, 일반적인 생산 빌드에 대한 성공적인 원격 코드 실행은 추가적인 악용 조건에 따라 달라진다는 것을 의미합니다.

패치된 Node.js 버전은 데모에서 사용된 손상된 콘텐츠를 예외적으로 거부합니다. 10월 22일 현재로서는 야생에서의 악용 보고는 없었습니다.

따라서 캠페인별 CVE-2026-111497 IOC, 예를 들어 악성 IP 주소, 도메인, 페이로드 해시 또는 확인된 악용 요청 서명은 인용된 연구에 게시되지 않았습니다.

보안 팀은 대신 다음과 같은 행동 지표에 초점을 맞춰야 합니다:

• 압축 트래픽을 처리하는 Node.js 서비스의 예기치 않은 충돌
• 세그멘테이션 오류 또는 네이티브 디코더 실패
• 비정상적인 메모리 보호 또는 악용 방지 경고
• Node.js가 쉘이나 명령어 해석기를 생성하는 경우
• Brotli 처리 직후 비정상적인 아웃바운드 연결
• 알 수 없는 소스에서 온 수상한 압축 요청
• 신뢰할 수 없는 인프라에 도달하는 서버측 fetch() 활동
• Node.js 서비스 계정에서 시작된 예기치 않은 파일 또는 프로세스 변경사항

10월 21일 Node.js 릴리스에는 또 다른 고심각성의 TLS 호스트 이름 검증 및 DNS 처리 문제도 수정되었습니다. CybersecurityNews는 조직이 이 릴리스를 단순히 Brotli 결함에만 중점을 두지 말고 더 광범위한 런타임 보안 업데이트로 간주해야 한다고 언급합니다.

동일한 릴리스는 또한 eMudhra 인증 기관의 손상 후 인증서 신뢰 정보를 새로 고쳤으며, 이로 인해 단일 픽스만 백포트하려는 시도를 피하고 전체 업그레이드 가치가 더욱 증가했습니다.

CVE-2026-111497 완화

기본 CVE-2026-111497 완화는 모든 지원되는 Node.js 설치를 패치된 버전으로 업그레이드하는 것입니다:

• 22.x → 22.23.4 또는 그 이상
• 24.x → 24.22.1 또는 그 이상
• 26.x → 26.12.1 또는 그 이상

Node.js 프로젝트는 Brotli 취약점에 대한 동등한 임시 런타임 해결책을 제공하지 않으므로 업그레이드가 신뢰할 수 있는 수정 경로입니다.

런타임 업데이트 후 관리자는 영향을 받는 모든 Node.js 서비스를 재시작해야 합니다. 장기 실행 프로세스는 재시작되지 않으면 이전 런타임을 계속 사용합니다.

컨테이너화된 작업 부하는 추가적인 주의가 필요합니다. CybersecurityNews는 수정된 Node.js 런타임을 포함하도록 배포된 애플리케이션 컨테이너 이미지를 재구성할 것을 권장합니다. 기본 호스트에서 Node.js를 업데이트해도 이미 컨테이너 이미지 내에 포함된 취약한 런타임이 대체되지 않습니다.

Brotli를 독립적으로 사용하는 조직도 취약한 라이브러리 버전을 업데이트해야 합니다. 소프트웨어 인벤토리 및 SBOM은 네이티브 애플리케이션, 어플라이언스, 개발 도구 및 서드파티 패키지에 내장된 복사본을 식별하는 데 도움을 줄 수 있습니다.

즉시 업그레이드가 불가능한 경우 조직은 일시적으로 공격 표면을 줄이기 위해 다음을 수행할 수 있습니다:

• 압축이 불필요한 경우 Brotli로 압축된 요청 본문을 거부
• 신뢰할 수 있는 대상으로의 서버 측 HTTP 요청 제한
• 사용자가 임의의 원격 URL을 제공하지 못하도록 방지
• 취약한 작업 부하의 아웃바운드 연결 제한
• 운영적으로 가능한 경우 선택적 Brotli 처리 비활성화
• 애플리케이션 충돌 및 메모리 관련 오류를 면밀히 모니터링
• Node.js에 의해 시작된 비정상적인 자식 프로세스 검사

Vercel은 인바운드 요청을 통해 도착하는 악성 Brotli 데이터를 차단하도록 방화벽 보호를 도입했습니다. 그러나 The Hacker News는 이 규칙이 외부 서버에서 독립적으로 악성 Brotli 응답을 가져오는 애플리케이션을 보호하지 못한다고 언급하며, WAF 필터링이 런타임 업그레이드를 대체할 수 없음을 설명합니다.

관리자는 패칭 후 실제로 프로덕션 워크로드에 사용되는 런타임을 확인해야 합니다. 패키지 관리자 출력만으로는 컨테이너, 서버리스 번들, 패키지 애플리케이션 또는 수동으로 설치된 런타임 디렉토리 내에 오래된 Node.js 바이너리가 남아 있는 경우 충분하지 않습니다.

악용이 의심되는 경우 대응자는 영향을 받은 워크로드를 격리하고 애플리케이션, 엔드포인트, 프록시 및 네트워크 원격 측정을 보존해야 합니다. 충돌 덤프는 취약점이 프로세스 메모리에 직접적으로 영향을 미치기 때문에 특히 가치가 있을 수 있습니다.

보안 팀은 다음을 조사해야 합니다:

• 예기치 않은 Node.js 자식 프로세스
• 새로 생성된 파일 또는 지속화 메커니즘
• 비정상적인 아웃바운드 연결
• 애플리케이션 또는 배포 구성 변경
• 환경 변수에서 사용할 수 있는 자격 증명과 비밀
• Node.js 프로세스에서 접근 가능한 API 키, 토큰, 클라우드 자격 증명
• 애플리케이션의 서비스 아이덴티티를 사용하여 도달 가능한 백엔드 데이터 스토어

제한된 프로세스 메모리 노출이 입증되었기 때문에, 공격 활동이 의심될 경우, 공격자가 조작한 코드를 실행할 수 있는 잠재적 증거가 명확하지 않아도 취약한 애플리케이션의 메모리에 있는 비밀은 잠재적으로 노출된 것으로 간주해야 합니다.

조직은 또한 영향을 받은 서비스에 할당된 권한을 검토해야 합니다. 최소한의 권한을 가진 컨테이너를 성공적으로 악용하는 것과 클라우드 자격 증명, 데이터베이스 관리 액세스, CI/CD 토큰 또는 배포 권한을 가진 Node.js 프로세스를 악용하는 것은 다른 결과를 가져옵니다.

SOC Prime 고객은 취약점 악용 및 관련 공격자 활동을 식별하기 위해 행동 기반 탐지 콘텐츠를 활용할 수 있으며, 취약한 시스템이 발견되고 수정되는 동안 지속적인 모니터링이 이루어질 수 있습니다.

면책 조항: 모든 CVE에 대해 탐지 콘텐츠가 제공되는 것은 아닙니다. 현재 범위를 SOC Prime 플랫폼에서 확인하십시오. 관련 탐지가 아직 제공되지 않는 경우, 새로운 위협 인텔리전스 및 탐지 콘텐츠가 지속적으로 추가되고 있으니 다시 확인하십시오.