SCJ SECUJUN

SECURITY NEWS

새로운 위협·취약점

Brotli CVE-2026-111497 실제 악용 확인, 다수 런타임 업데이트 필요

CISA가 Google Brotli 취약점을 실제 악용 목록에 추가했다. Node.js·PHP Windows·Bun·.NET·Envoy·Istio·Python 등 제품별 수정 버전을 적용하고 패치 전 침해 여부를 확인해야 한다.

미국공급망 기반 취약점 경보 · 메모리 손상·원격 코드 실행

실제 악용 확인·KEV 등재 · 제품별 패치 필요

Node.js Project · Google Brotli · PHP · CERT-In · 원문 영어 · 정리 2026-10-30

CVE-2026-111497 · CISA KEV 등재 — 경계 밖 메모리 쓰기; 다수 런타임 영향; 패치 전 침해 점검
GPT 생성 설명 이미지 · 출처 [1] · [2] · [3] · [5] · 실제 현장 사진이나 제품 화면이 아닙니다.

원문 기반 한국어 요약

Node.js 프로젝트는 번들된 Brotli 디코더가 비정상 압축 입력을 처리할 때 내부 8바이트 버퍼 뒤로 데이터를 쓸 수 있는 CVE-2026-111497을 공개했다. 공격자가 애플리케이션에 node:zlib로 해제되는 Brotli 데이터를 제공할 수 있으면 프로세스 충돌, 메모리 노출 또는 원격 코드 실행으로 이어질 수 있다. [1]

Node.js 22.x, 24.x, 26.x가 영향 대상이며 수정 버전은 각각 22.23.4, 24.22.1, 26.12.1이다. 공지는 이 취약점의 심각도를 High로 분류했다. Node.js의 해당 보안 릴리스에는 별도의 DNS·TLS·HTTP·암호 관련 취약점 수정도 포함돼 있으므로 버전 전체 업데이트가 필요하다. [1]

문제의 근원은 Node.js 전용 코드가 아니라 Google Brotli 디코더다. Google Brotli 프로젝트는 1.0.10, 1.1.1, 1.2.1을 공개해 CVE-2026-111497을 수정했다. 제품이 Brotli 라이브러리를 직접 번들하거나 취약 버전에 의존하면 해당 제품·공급자의 수정 여부를 별도로 확인해야 한다. [2]

CERT-In은 10월 27일 Google Brotli C 라이브러리뿐 아니라 Node.js, Bun, .NET, Envoy, Istio, Python brotli·brotlicffi, Cdxgen, PHP를 영향 시스템으로 열거했다. 각 생태계의 수정 버전과 배포 방식이 다르므로 단일 Node.js 패치만으로 모든 노출이 해소되지는 않는다. [4]

PHP는 Windows용 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1 빌드에 Brotli 1.2.1을 포함해 다시 배포했다. PHP Windows에서는 cURL 확장이 HTTP 응답 자동 압축 해제를 사용할 때 취약 디코더에 도달할 수 있으며, 이 기능은 cURL 기본값으로는 꺼져 있지만 애플리케이션이나 HTTP 클라이언트가 켤 수 있다. [3]

CISA는 10월 27일 CVE-2026-111497을 Known Exploited Vulnerabilities 목록에 추가했다. 이는 실제 악용 근거가 확인됐다는 의미다. 미국 연방 민간기관에는 BOD 26-04의 위험 기반 우선 조치와 패치 전 침해 여부 확인 요구가 적용되며, CISA는 다른 조직에도 KEV 우선 대응을 권고한다. [5]

근거: 아래 출처 [1] · [2] · [3] · [4] · [5] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약

자료 확인 범위

Node.js는 CVE-2026-111497을 High로, CERT-In은 광범위 제품 영향을 기준으로 Critical로 분류했다. CISA KEV 등재로 실제 악용 근거는 확인됐지만 모든 취약 제품의 성공 침해나 원격 코드 실행이 확인됐다는 의미는 아니다. 실제 노출은 신뢰할 수 없는 Brotli 스트림 처리 여부, 제품별 번들 버전과 패치 전 로그·호스트 상태를 확인해야 한다.

출처 및 레퍼런스

  1. Node.js ProjectWednesday, October 21, 2026 Security Releases발표·갱신: 2026-10-21 · 확인: 2026-10-30

    공식 보안 릴리스에서 CVE-2026-111497의 원인·영향, Node.js 22·24·26 계열과 수정 버전을 확인했다.

  2. Google BrotliGoogle Brotli releases v1.0.10, v1.1.1 and v1.2.1발표·갱신: 2026-10-21 · 확인: 2026-10-30

    공식 저장소 릴리스에서 CVE-2026-111497 수정 버전 1.0.10, 1.1.1, 1.2.1을 확인했다.

  3. PHP ProjectUpdated PHP Windows builds for Brotli security fix발표·갱신: 2026-10-26 · 확인: 2026-10-30

    공식 공지에서 재배포된 Windows 빌드, Brotli 1.2.1 포함과 cURL 자동 압축 해제의 도달 조건을 확인했다.

  4. CERT-InCIAD-2026-0055: Out-of-Bounds Write Vulnerability in Google Brotli Decoder발표·갱신: 2026-10-27 · 확인: 2026-10-30

    정부 CERT 경보에서 Brotli 라이브러리를 포함하는 Node.js·Bun·.NET·Envoy·Istio·Python·Cdxgen·PHP의 영향과 제품별 업데이트 링크를 확인했다.

  5. U.S. Cybersecurity and Infrastructure Security AgencyCISA Adds Two Known Exploited Vulnerabilities to Catalog발표·갱신: 2026-10-27 15:30 EDT · 확인: 2026-10-30

    CISA 공식 배포문에서 CVE-2026-111497의 KEV 등재, 실제 악용 근거와 BOD 26-04의 위험 기반 우선 대응 요구를 확인했다.

이 게시물 작성에 직접 사용한 출처 전체입니다.

미국 보안뉴스 목록