Node.js 보안 취약점이 2026년 10월 21일 공식 보안 업데이트로 공개되었습니다. CVE-2026-111497로 등록된 이번 문제는 Brotli 압축 해제 과정에서 메모리 오류가 발생하는 취약점입니다. 서버가 멈추거나 메모리 정보가 노출될 수 있고, 특정 조건에서는 원격 코드 실행까지 가능할 수 있어 서버 관리자의 빠른 확인이 필요합니다.
영향을 받는 버전과 수정 버전을 먼저 정리했습니다. 아래 표를 기준으로 사용 중인 런타임 버전을 확인하면 됩니다.
| 실행 환경 | 영향받는 버전 | 수정 버전 |
|---|---|---|
| Node.js 22.x | 22.23.4 미만 | 22.23.4 이상 |
| Node.js 24.x | 24.22.1 미만 | 24.22.1 이상 |
| Node.js 26.x | 26.12.1 미만 | 26.12.1 이상 |
| Bun | 1.0.21 이상 1.4.4 미만 | 1.4.4 이상 |
목차
이번 Node.js 보안 취약점이 왜 중요한가요
CVE-2026-111497은 서버가 데이터를 빠르게 주고받기 위해 사용하는 Brotli 압축 기술에서 발생했습니다. 공격자가 특수하게 조작한 압축 데이터를 보내면 압축을 해제하는 과정에서 디코더가 내부 버퍼 범위를 벗어나 데이터를 기록할 수 있습니다. 이런 메모리 손상 문제는 프로그램이 갑자기 멈추는 서비스 장애로 이어질 수 있고, 서버 메모리에 남아 있는 민감한 정보가 외부로 노출될 가능성도 있습니다.
더 심각한 부분은 특정 조건에서 외부 공격자가 악성 코드를 실행할 수 있다는 점입니다. 다만 취약점이 발견된 사실과 실제 서버가 침해된 상황은 다릅니다. 공격자가 조작한 데이터를 취약한 프로그램이 실제로 처리해야 악용이 가능합니다. 따라서 Node.js를 사용한다는 이유만으로 모든 서비스가 즉시 공격받는 것은 아닙니다. 그렇지만 한 번 노출되면 피해 범위가 커질 수 있으므로 수정 버전으로 빠르게 옮기는 것이 가장 확실한 대응입니다.
공식 보안 공지에서는 이번 문제를 높은 위험도로 분류했습니다. Node.js 공식 프로젝트가 배포한 보안 업데이트 정보를 직접 확인하는 것이 좋습니다.
내 서버가 영향을 받는지 확인하는 방법
가장 먼저 실행 중인 Node.js 버전을 확인해야 합니다. 개발 PC에 설치된 버전과 실제 서비스에 배포된 버전이 다를 수 있기 때문입니다. 터미널에서 node -v 명령어를 실행하면 현재 Node.js 버전을 확인할 수 있고, bun --version을 입력하면 Bun 버전을 확인할 수 있습니다.
Docker 컨테이너와 CI/CD 환경도 별도로 점검하세요
Docker로 서버를 운영한다면 호스트에 설치된 Node.js 버전만 확인해서는 안 됩니다. 실제 요청을 처리하는 컨테이너 내부의 런타임 버전이 기준입니다. docker exec 컨테이너명 node -v 명령어로 실행 중인 컨테이너의 버전을 확인해야 합니다. CI/CD 파이프라인에서 이미지를 빌드할 때 사용하는 Node.js 버전도 함께 확인해야 합니다. 개발 PC에서 아무리 새 버전을 사용해도 CI 서버가 구버전을 사용하면 배포 이미지에 취약한 런타임이 그대로 포함될 수 있습니다.
Bun 컴파일 실행 파일은 반드시 다시 빌드해야 합니다
Bun의 bun build --compile 기능으로 만든 단일 실행 파일에는 Bun 런타임이 함께 포함됩니다. 운영체제에 설치된 Bun만 업데이트한다고 기존 실행 파일이 자동으로 수정되지는 않습니다. 취약한 Bun 버전으로 빌드한 실행 파일은 수정된 1.4.4 버전으로 다시 빌드하고 재배포해야 합니다. 이 과정에서 빌드 산출물이 실제 운영 환경에 교체됐는지 확인하는 것도 중요합니다.
실무에서 놓치기 쉬운 대응 영역
이번 Node.js 보안 취약점 대응에서 중요한 것은 외부 데이터를 처리하는 경로를 함께 점검하는 것입니다. 특히 서버가 외부 API 응답을 받을 때 Brotli 압축 데이터를 자동으로 해제하는지 확인해야 합니다. Node.js와 Bun의 fetch 기능은 요청 헤더에 브라우저와 유사한 압축 형식을 포함하는 경우가 있습니다. 이때 외부 서버가 Content-Encoding으로 Brotli 압축 응답을 보내면 취약한 디코더가 사용될 수 있습니다.
사용자가 업로드한 파일을 서버에서 Brotli 압축 해제하는 기능도 점검 대상입니다. 일반적인 파일 업로드 기능이 있다는 이유만으로 취약점이 악용되지는 않지만, 업로드 데이터를 실제 Brotli 디코더에 전달하는 구조라면 위험할 수 있습니다. 신뢰할 수 없는 외부 서버와 통신하는 서비스는 우선적으로 확인하는 것이 좋습니다.
당장 업데이트가 어렵다면 임시 대응을 적용하세요
서비스 중단이나 호환성 문제로 즉시 런타임을 교체하기 어려운 상황이 있을 수 있습니다. 그럴 때는 Bun의 fetch에서 decompress: false 옵션을 사용해 자동 압축 해제를 끄는 방법을 적용할 수 있습니다. 또한 신뢰할 수 없는 데이터를 node:zlib의 Brotli 해제 함수나 DecompressionStream에 전달하는 코드 경로를 임시로 제한할 수 있습니다. 다만 이런 임시 조치는 근본적인 해결책이 아니므로 수정 버전으로 교체하는 일정을 최대한 앞당겨야 합니다.
업데이트 후 반드시 확인할 사항
런타임을 수정 버전으로 올린 뒤에는 실제 운영 환경에 반영됐는지 확인해야 합니다. node -v와 bun --version으로 실행 환경의 버전을 다시 점검하고, Docker 베이스 이미지와 Kubernetes 배포 버전에 수정 런타임이 포함됐는지도 확인해야 합니다. 재배포 이후에는 압축 응답 처리와 API 기능이 정상 동작하는지 테스트하고, 프로세스 오류나 비정상 종료가 없는지 운영 로그를 살펴보는 것이 좋습니다.
보안 패치 과정에서 package-lock.json을 삭제하면 의존성 버전이 함께 바뀔 수 있습니다. 기존 잠금 파일을 보존한 상태에서 npm ci 명령어로 의존성을 설치하고 테스트하는 편이 변경 범위를 관리하기 쉽습니다. 프로젝트에서 별도 패키지 관리자를 사용한다면 해당 도구의 설치 절차에 맞게 진행해야 합니다.
정리하며
이번 Node.js 보안 취약점은 Brotli 압축 해제 과정에서 발생하는 메모리 손상 문제입니다. 영향받는 Node.js 22.x, 24.x, 26.x 버전과 Bun 1.4.4 미만 버전은 수정 버전으로 업데이트해야 합니다. Docker 컨테이너와 CI/CD 환경, Bun 컴파일 실행 파일까지 점검 범위에 포함해야 실제 서비스의 보안을 지킬 수 있습니다.
보안 취약점이 발견됐다는 사실은 곧 대규모 해킹 사고를 의미하지 않습니다. Node.js 보안 취약점은 공식 보고를 거쳐 수정 버전이 이미 배포된 상태입니다. 서버 관리자는 버전 확인과 패치 적용을 최우선으로 진행하고, 외부 데이터 처리 경로를 점검해 예상하지 못한 공격 경로를 줄여야 합니다. 앞으로도 런타임 업데이트 공지를 주기적으로 확인하는 습관이 가장 든든한 방어선이 될 것입니다.
FAQ
Q: Node.js 보안 취약점이 발견됐는데 일반 사용자도 바로 조치해야 하나요?
A: 일반 사용자가 스마트폰이나 PC를 쓰는 것만으로 이번 취약점에 직접 노출되지는 않습니다. 다만 이용 중인 서비스의 서버가 공격받아 개인정보 유출로 이어질 수 있으므로, 해당 서비스의 공식 안내를 확인하는 것이 좋습니다.
Q: Node.js 버전 확인은 어떻게 하나요?
A: 터미널에서 node -v 명령어를 입력하면 현재 설치된 Node.js 버전을 확인할 수 있습니다. Docker를 사용한다면 컨테이너 내부에서 별도로 확인해야 합니다.
Q: 이번 취약점의 수정 버전은 어떻게 되나요?
A: Node.js 22.x는 22.23.4 이상, 24.x는 24.22.1 이상, 26.x는 26.12.1 이상입니다. Bun은 1.4.4 이상으로 업데이트하면 됩니다.
