전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 인증 없이 시스템을 장악할 수 있는 치명적인 보안 취약점이 발견되자 정부는 22일 관련 기업에 보안 조치를 안내하는 등 긴급 대응에 나섰다. 사진은 정부세종청사 과학기술정보통신부 사이버침해대응과 사무실. 연합뉴스

전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 'PHP'에 이어 'Node.js'에서도 보안 취약점이 발견됐다.

26일 연합뉴스에 따르면 웹사이트와 서버 개발에 널리 사용되는 소프트웨어 실행 환경인 'Node.js' 프로젝트는 지난 21일 공식 보안 공지에서 Node.js에 포함된 브로틀리(Brotli) 압축 해제 모듈에서 원격 코드 실행을 허용할 수 있는 취약점(CVE-2026-111497)이 발견됐다고 밝혔다.

Node.js는 자바스크립트 프로그래밍 언어를 웹브라우저 밖에서도 실행할 수 있도록 하는 소프트웨어 환경으로, 웹 서버와 애플리케이션의 백엔드 개발 등에 널리 활용되고 있다.

공격자는 이 취약점을 악용해 별도의 인증 절차 없이 서버를 비정상 종료시키거나 악성 코드를 원격으로 실행할 수 있다. 다만 실제 공격 가능성은 서버의 압축 데이터 처리 방식과 실행 환경 등에 따라 달라진다.

해당 취약점을 제보한 연구진은 오픈AI 코덱스 보안팀이다. 앞서 오픈AI는 최상위 인공지능(AI) 모델의 통제망 탈출 테스트 과정에서 AI 에이전트들이 브로틀리의 잠재적 취약점을 스스로 찾아냈다고 밝힌 바 있다.

Node.js 개발진은 취약점 위험도를 '높음'(High)으로 분류하고, 영향을 받는 22.23.4, 24.22.1, 26.12.1 버전에 대한 보안 패치를 배포했다.

한국인터넷진흥원(KISA)도 해당 취약점에 대한 보안 공지를 내고, 영향을 받는 Node.js 버전의 사용자들에게 최신 보안 업데이트 적용을 권고했다.

국내 보안업체 티오리는 이날 Node2Shell 취약점에 대한 자체 재현 및 검증을 완료하고, 기업과 기관을 위한 긴급 대응 방안을 발표했다.

티오리는 개발자가 직접 작성한 프로그램 코드에 문제가 없더라도 Node.js 실행 환경 자체의 결함으로 공격에 노출될 수 있다고 설명했다.

특히 외부에서 전달된 압축 데이터를 자동으로 해제하는 기능을 사용하는 경우 취약점 악용 가능성을 점검해야 한다고 부연했다.

또한 별도 프로그램 설치 없이 운영 중인 서비스의 인터넷 주소(URL)만 입력하면 취약점 노출 위험성을 무료로 점검할 수 있는 온라인 진단 서비스 'Node.js 가드'를 공개했다.