데일리 TOP10
PHP 이어 Node.js도 서버 제어권 탈취 취약점 발견…긴급 패치 권고
뉴스보이
2026.10.26. 14:11
뉴스보이
2026.10.26. 14:11
원격 코드 실행 방지를 위한 최신 버전 업데이트와 임시 차단 수칙
1
Node.js 압축 해제 모듈에서 서버 제어권 탈취가 가능한 고위험 원격 코드 실행 취약점이 확인됨.
2
오픈AI 코덱스팀 AI 에이전트가 결함을 발견했으며, 자체 코드 오류가 없어도 서버가 공격에 노출될 수 있음.
3
한국인터넷진흥원(KISA)과 보안업계는 위험 확산을 막기 위해 영향받는 버전에 대한 긴급 업데이트를 권고함.
4
이에 따라 Node.js 22·24·26 계열은 수정 버전인 22.23.4, 24.22.1, 26.12.1 이상으로 즉시 올려야 함.
5
즉시 패치가 어렵다면 리버스 프록시로 유입을 차단하고, 지원 종료된 20 이하는 별도 패치 제공 여부를 확인해야 함.
웹 서버를 위협하는 런타임 보안 결함과 대응 수칙
PHP와 Node.js에서 취약점이 잇따르는 배경
코드 오류가 없어도 서버가 뚫리는 이유
AI가 찾아낸 제로데이와 글로벌 위험도 평가
서버 제어권을 지키기 위한 필수 점검 수칙
PHP와 Node.js에서 취약점이 잇따르는 배경
•
수많은 웹 서비스를 지탱하는 실행 환경인 PHP와 Node.js의 내부 모듈에서 원격으로 서버를 장악할 수 있는 치명적 결함이 단기간에 잇따라 드러났습니다. 웹 서버의 기반 소프트웨어에서 보안 결함이 연쇄적으로 발견되면서 개발 생태계 전반의 위기감이 커지고 있습니다.
•
앞서 PHP 재단은 메모리 한도 초과 및 해제된 메모리 재참조와 관련된 심각한 결함 두 건을 긴급히 패치했습니다. 실제로 최근 나흘 동안 주요 개발 언어에서 공개된 취약점 16건 가운데 10건이 Node.js에 집중되는 등 기반 실행 환경 전반에서 결함이 연이어 확인되었습니다.
•
사이버 공격자들은 이러한 런타임 결함을 노려 폐쇄형 익명 네트워크에서 정부 기관과 금융권을 겨냥한 공격을 모의하기도 했습니다. 실행 환경 자체의 결함은 해당 환경 위에서 동작하는 모든 서비스에 일괄적인 침해 위험을 초래할 수 있습니다.
코드 오류가 없어도 서버가 뚫리는 이유
•
개발자가 압축 기능을 직접 구현하지 않았더라도 Node.js 내부 모듈의 결함 탓에 서버가 원격 코드 실행 공격에 노출될 수 있습니다. 이번 취약점은 애플리케이션 코드가 아니라 Node.js에 탑재된 구글 브로틀리 C 디코더 라이브러리의 메모리 손상 결함에서 발생했습니다.
•
익스프레스 5 같은 웹 프레임워크나 내장 fetch() 통신 기능은 압축 데이터를 수신하면 자동으로 브로틀리 디코더를 실행합니다. 이때 조작된 압축 스트림이 유입되면 내부 버퍼 경계를 벗어나 인접 힙 메모리를 덮어쓰면서 공격자에게 서버 제어권을 넘겨주게 됩니다.
AI가 찾아낸 제로데이와 글로벌 위험도 평가
•
이번 결함은 오픈AI 연구진이 인공지능 모델의 통제망 탈출 가능성을 점검하던 중 AI 에이전트들이 자율적으로 식별해 제보했습니다. 해당 취약점은 외부 보안 기관들로부터 위험 지표 최고 수준에 가까운 치명적 등급으로 평가받았습니다.
•
구글 보안 조직은 취약점 평가 지표 기준 9.2점을 부여했으며 싱가포르 사이버보안청 등은 9.8점의 치명적 수준으로 산정했습니다. 현재까지 공식적으로 확인된 실제 공격 악용 사례는 없지만 잠재적인 파급력이 매우 높은 고위험 결함으로 분류됩니다.
서버 제어권을 지키기 위한 필수 점검 수칙
•
서버 침입을 막기 위해 운영자는 현재 가동 중인 Node.js를 공식 보안 패치 버전으로 즉시 판올림해야 합니다. 결함이 수정된 버전은 22.23.4, 24.22.1, 26.12.1 이상이므로 운영 환경에 맞는 버전을 확인해 적용해야 합니다.
•
당장 런타임 업그레이드가 어려운 환경이라면 리버스 프록시 단계에서 악성 브로틀리 요청 유입을 선제적으로 차단해야 합니다. 더불어 별도 프로그램 설치 없이 웹 주소 입력만으로 위험 노출 여부를 점검할 수 있는 온라인 무료 진단 도구를 활용하는 것도 방법입니다.
•
공식 지원이 끝난 Node.js 20 이하 버전을 운영 중이라면 운영체제 배포판이나 지원 업체가 보안 패치를 제공하는지 따로 점검해야 합니다. 구버전은 공식 업데이트 지원 대상에서 제외될 수 있으므로 사각지대 보안 대책을 서둘러 마련해야 합니다.
PHP와 Node.js에서 취약점이 잇따르는 배경
•
수많은 웹 서비스를 지탱하는 실행 환경인 PHP와 Node.js의 내부 모듈에서 원격으로 서버를 장악할 수 있는 치명적 결함이 단기간에 잇따라 드러났습니다. 웹 서버의 기반 소프트웨어에서 보안 결함이 연쇄적으로 발견되면서 개발 생태계 전반의 위기감이 커지고 있습니다.
•
앞서 PHP 재단은 메모리 한도 초과 및 해제된 메모리 재참조와 관련된 심각한 결함 두 건을 긴급히 패치했습니다. 실제로 최근 나흘 동안 주요 개발 언어에서 공개된 취약점 16건 가운데 10건이 Node.js에 집중되는 등 기반 실행 환경 전반에서 결함이 연이어 확인되었습니다.
•
사이버 공격자들은 이러한 런타임 결함을 노려 폐쇄형 익명 네트워크에서 정부 기관과 금융권을 겨냥한 공격을 모의하기도 했습니다. 실행 환경 자체의 결함은 해당 환경 위에서 동작하는 모든 서비스에 일괄적인 침해 위험을 초래할 수 있습니다.
코드 오류가 없어도 서버가 뚫리는 이유
•
개발자가 압축 기능을 직접 구현하지 않았더라도 Node.js 내부 모듈의 결함 탓에 서버가 원격 코드 실행 공격에 노출될 수 있습니다. 이번 취약점은 애플리케이션 코드가 아니라 Node.js에 탑재된 구글 브로틀리 C 디코더 라이브러리의 메모리 손상 결함에서 발생했습니다.
•
익스프레스 5 같은 웹 프레임워크나 내장 fetch() 통신 기능은 압축 데이터를 수신하면 자동으로 브로틀리 디코더를 실행합니다. 이때 조작된 압축 스트림이 유입되면 내부 버퍼 경계를 벗어나 인접 힙 메모리를 덮어쓰면서 공격자에게 서버 제어권을 넘겨주게 됩니다.
AI가 찾아낸 제로데이와 글로벌 위험도 평가
•
이번 결함은 오픈AI 연구진이 인공지능 모델의 통제망 탈출 가능성을 점검하던 중 AI 에이전트들이 자율적으로 식별해 제보했습니다. 해당 취약점은 외부 보안 기관들로부터 위험 지표 최고 수준에 가까운 치명적 등급으로 평가받았습니다.
•
구글 보안 조직은 취약점 평가 지표 기준 9.2점을 부여했으며 싱가포르 사이버보안청 등은 9.8점의 치명적 수준으로 산정했습니다. 현재까지 공식적으로 확인된 실제 공격 악용 사례는 없지만 잠재적인 파급력이 매우 높은 고위험 결함으로 분류됩니다.
서버 제어권을 지키기 위한 필수 점검 수칙
•
서버 침입을 막기 위해 운영자는 현재 가동 중인 Node.js를 공식 보안 패치 버전으로 즉시 판올림해야 합니다. 결함이 수정된 버전은 22.23.4, 24.22.1, 26.12.1 이상이므로 운영 환경에 맞는 버전을 확인해 적용해야 합니다.
•
당장 런타임 업그레이드가 어려운 환경이라면 리버스 프록시 단계에서 악성 브로틀리 요청 유입을 선제적으로 차단해야 합니다. 더불어 별도 프로그램 설치 없이 웹 주소 입력만으로 위험 노출 여부를 점검할 수 있는 온라인 무료 진단 도구를 활용하는 것도 방법입니다.
•
공식 지원이 끝난 Node.js 20 이하 버전을 운영 중이라면 운영체제 배포판이나 지원 업체가 보안 패치를 제공하는지 따로 점검해야 합니다. 구버전은 공식 업데이트 지원 대상에서 제외될 수 있으므로 사각지대 보안 대책을 서둘러 마련해야 합니다.
#Node.js
#한국인터넷진흥원
#오픈AI
#원격 코드 실행
#AI 에이전트
이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다. AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
• 이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다.
• AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
