📰 개요

Node.js 런타임에 내장된 Google Brotli 디코더에서 경계 밖 쓰기(Out-of-Bounds Write) 취약점(CVE-2026-111497)이 공개되었습니다. Node.js는 2026년 10월 21일 22.x, 24.x, 26.x 전 지원 계열에 패치를 배포하며 원격 코드 실행 가능성을 언급하였고, 보안 업계에서는 이를 Node2Shell로 부르고 있습니다.

다만 NVD 자체 분석은 아직 진행 중이며, 공개된 PoC는 일반 빌드에서 크래시 및 제한적 메모리 노출 수준만 확인된 상태로 실제 공격 사례도 보고되지 않았습니다. 그러나 Express 5, fetch() 등 일반적인 사용 환경에서 공격 경로가 존재하고 조치가 버전 업데이트로 간단한 만큼, 선제적인 점검과 패치 적용을 권고합니다.

ℹ️ CVE-2026-111497 취약점 상세 정보

⏳ 타임라인

🔎 취약점 악용 탐지

공식 IoC는 공개되지 않았으므로, 현 시점에서는 노출 자산 사전 식별을 우선하고 이상 행위 모니터링을 병행하는 방식을 권고합니다.

1. 노출 자산 사전 식별

• 호스트, CI 러너, 컨테이너 내부의 런타임 버전을 확인합니다. 패키지 인벤토리만으로는 이미지에 번들된 구버전 런타임을 놓칠 수 있습니다.

node --version
docker run --rm <image> node --version
bun --version

• Brotli 해제 경로를 보유한 애플리케이션을 우선 대상으로 분류합니다.

# Express 5 / body-parser 2.x 사용 여부 (Content-Encoding: br 요청 본문 자동 해제)
npm ls express body-parser

# node:zlib Brotli 해제 함수 직접 사용 여부
grep -rnE "brotliDecompress|createBrotliDecompress" --include=*.js --include=*.ts .

• 웹훅 전송, 사용자 입력 URL 호출 등 외부 서버로 fetch()를 호출하는 기능을 목록화합니다. fetch()는 Brotli 응답을 자동 해제하므로 아웃바운드 경로도 노출 대상입니다.

2. 로그 기반 모니터링

• WAF, 리버스 프록시 로그에서 평소 압축 요청을 받지 않는 엔드포인트로 유입된 Content-Encoding: br 요청을 확인합니다.
• 압축 해제 과정에서 발생한 Node.js 프로세스 비정상 종료(SIGSEGV, exit code 139 등)와 Brotli 디코더 오류를 확인합니다. 단, 단독으로는 악용 근거가 되지 않으므로 런타임 버전 및 요청 출처와 연계하여 판단합니다.

🔧 취약점 완화 조치