Google Brotli 압축 라이브러리 (Node.js 등)압축 해제 라이브러리 취약점, 미국 CISA가 실제 악용 확인
쉽게 말하면 여러 서버 프로그램이 쓰는 압축 기능에 결함이 발견됐고, 미국 정부가 실제 공격에 쓰인다고 확인했습니다.
많은 서버 프로그램이 쓰는 압축 해제 기능의 메모리 결함입니다. PHP2Shell에 이어 이번에는 Node.js 계열 서버가 위험하다고 알려졌습니다.
위험도 CVE-2026-111497 · 실제 악용 확인현황 패치 배포 중 · KISA 업데이트 권고
CISA의 악용 확인이 모든 환경에서 원격 코드 실행이 성공한다는 뜻은 아닙니다. 레드햇은 메모리 손상과 서비스 중단은 입증됐으나 신뢰성 있는 원격 실행 공격 코드는 공개되지 않았다고 설명했습니다.
확인된 사실
- 식별번호
- CVE-2026-111497(기사 표기). 별칭 Node2Shell, Broccoli2Shell
- 유형
- 구글 Brotli 압축 해제의 메모리 영역 밖 쓰기
- 영향 버전
- 1.0.3 이상 1.0.10 미만, 1.1.0 이상 1.1.1 미만, 1.2.0 이상 1.2.1 미만
- 영향 가능 제품
- Node.js, Bun, .NET, PowerShell, Envoy Proxy, Istio, 파이썬 Brotli 패키지 등
- 관련 제품
- 브로드컴 VMware SDDC Manager(VMSA-2026-0008, 10/27 발표). 정식 패치 준비 중, 임시 완화책 제공(10/28 기준)
경과
- KISA가 보안 업데이트 권고 게시공식 조치
- 미국 CISA가 실제 악용 확인 취약점(KEV) 목록에 등재. 연방기관 조치 기한 11월 10일공식 조치
- 캐나다 사이버보안센터 긴급 경보
원인으로 지목된 것
- 압축 데이터 처리 중 메모리 영역을 벗어나 쓰는 결함입니다.
대응과 조치
- KISA는 외부 연결 웹·API 서버 우선 점검, 압축 데이터 처리 애플리케이션 확인, 패치가 어려우면 외부 압축 데이터 처리 제한과 비정상 종료 모니터링을 권고했습니다.
용어: CISA KEV
출처
- 데일리시큐: 미국 CISA, 'Node2Shell' 취약점 실제 공격 악용 확인dailysecu.com
- 데일리시큐: PHP2Shell 이어 Node2Shell, Node.js 치명적 취약점dailysecu.com