Brotli 디코더 CVE-2026-111497, Node.js·PHP 등 다수 제품에 확산

원문 기반 한국어 요약

Node.js 프로젝트는 번들된 Brotli 디코더가 비정상 압축 입력을 처리할 때 내부 8바이트 버퍼 뒤로 데이터를 쓸 수 있는 CVE-2026-111497을 공개했다. 공격자가 애플리케이션에 node:zlib로 해제되는 Brotli 데이터를 제공할 수 있으면 프로세스 충돌, 메모리 노출 또는 원격 코드 실행으로 이어질 수 있다. [1]

Node.js 22.x, 24.x, 26.x가 영향 대상이며 수정 버전은 각각 22.23.4, 24.22.1, 26.12.1이다. 공지는 이 취약점의 심각도를 High로 분류했다. Node.js의 해당 보안 릴리스에는 별도의 DNS·TLS·HTTP·암호 관련 취약점 수정도 포함돼 있으므로 버전 전체 업데이트가 필요하다. [1]

문제의 근원은 Node.js 전용 코드가 아니라 Google Brotli 디코더다. Google Brotli 프로젝트는 1.0.10, 1.1.1, 1.2.1을 공개해 CVE-2026-111497을 수정했다. 제품이 Brotli 라이브러리를 직접 번들하거나 취약 버전에 의존하면 해당 제품·공급자의 수정 여부를 별도로 확인해야 한다. [2]

CERT-In은 10월 27일 Google Brotli C 라이브러리뿐 아니라 Node.js, Bun, .NET, Envoy, Istio, Python brotli·brotlicffi, Cdxgen, PHP를 영향 시스템으로 열거했다. 각 생태계의 수정 버전과 배포 방식이 다르므로 단일 Node.js 패치만으로 모든 노출이 해소되지는 않는다. [4]

PHP는 Windows용 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1 빌드에 Brotli 1.2.1을 포함해 다시 배포했다. PHP Windows에서는 cURL 확장이 HTTP 응답 자동 압축 해제를 사용할 때 취약 디코더에 도달할 수 있으며, 이 기능은 cURL 기본값으로는 꺼져 있지만 애플리케이션이나 HTTP 클라이언트가 켤 수 있다. [3]

노출 여부는 신뢰할 수 없는 Brotli 압축 데이터를 실제로 해제하는 경로와 제품이 포함한 라이브러리 버전에 달려 있다. 취약 구성의 존재만으로 침해나 원격 코드 실행 성공을 뜻하지 않으며, 공개된 공식 자료에는 실제 악용 확인이 명시되지 않았다. [1][3][4]

근거: 아래 출처 [1] · [2] · [3] · [4] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약