PHP 이어 Node.js까지…개발 생태계 보안 취약점 잇따라

Node.js뿐 아니라 파이썬, 자바, 리눅스 등 영향
별도 인증절차 없이 원격 코드 실행 가능

▲Node2Shell 긴급대응방안. (사진제공=티오리)

전세계 웹사이트 70%가 사용하는 프로그래밍 언어 PHP에 이어 웹 서버 및 백엔드 개발에 광범위하게 쓰이는 소프트웨어 환경 Node.js에서 보안 취약점이 드러났다. Node.js와 같은 코드를 쓰는 파이썬, 자바, 리눅스 운영체제 라이브러리 등이 영향을 받는다. PHP에서도 공식 패치가 나오지 않은 신규 취약점이 공개되는 등 AI발 보안 공백 우려가 커지고 있다.

26일 보안업계에 따르면 웹 서버와 애플리케이션의 백엔드 개발 등에 폭넓게 활용되는 Node.js 취약점 ‘Node2Shell’이 발견됐다. Node.js는 자바스크립트 프로그래밍 언어를 웹브라우저 밖에서도 실행할 수 있도록 하는 소프트웨어 환경이다. PHP처럼 이용자 요청을 서버에서 처리한다.

해당 취약점은 오픈AI 코덱스 보안팀이 제보한 것으로 알려졌다. 앞서 오픈AI는 최상위 AI 모델의 통제망 탈출 테스트 과정에서 AI 에이전트가 브로틀리(Brotli)의 잠재적 취약점을 스스로 찾아냈다고 밝힌 바 있다. 브로틀리는 웹에서 주고받는 데이터 크기를 줄이는 압축 방식이다.

Node.js 개발진은 취약점 위험도를 ‘높음’으로 분류하고 영향을 받는 22.23.4, 24.22.1, 26.12.1 버전에 대한 보안 패치를 배포했다. 한국인터넷진흥원(KISA)도 관련 보안 공지를 내고 영향을 받는 Node.js 버전의 사용자들에게 최신 보안 업데이트 적용을 권고했다.

국내 보안업체 티오리 분석에 따르면 이번에 발견된 취약점은 Node.js에 탑재되거나 링크된 브로틀리 압축 해제(디코더) 모듈의 ‘경계 외 쓰기(Out-of-bounds Write)’ 결함에서 비롯됐다. 공격자는 취약점을 악용해 별도의 인증 절차 없이 서버를 다운시키거나 원격 코드 실행을 통해 서버 제어권을 장악할 수 있다.

티오리는 즉각적인 Node.js 패치가 어려운 기업을 위해 패치 전까지 공격을 차단할 수 있는 리버스 프록시 및 애플리케이션 단의 임시 완화 방안을 제시했다. 별도 스크립트 설치 없이 운영 중인 서비스 URL만으로 노출 위험성을 무료로 점검할 수 있는 온라인 진단 서비스도 오픈했다.

티오리 관계자는 "해당 취약점은 Node.js뿐 아니라 Python, Java 등 주요 개발 언어의 라이브러리와 리눅스 운영체제, 프록시 같은 인프라 구성 요소에도 들어 있다"며 "링크 및 이미지 미리보기, 크롤러처럼 외부 URL에서 데이터를 가져오는 기능은 별도 설정 없이도 공격 경로가 될 수 있어, AI 및 데이터 서비스에서 주의가 필요하다"고 말했다.

이어 "여러 언어와 오픈소스 구성 요소가 섞여 있는 금융, 공공, 대기업 환경일수록 취약한 라이브러리가 어디에 들어가 있는지 파악하기 어려워 피해 가능성이 높다"며 "공식 패치를 기다리기보다 사용 중인 서비스와 라이브러리를 먼저 점검해 업그레이드나 공격 경로 차단을 선제적으로 적용해야 한다"고 덧붙였다.

한편 정식 패치가 나오지 않은 PHP 취약점도 추가로 발견됐다. KISA는 24일 새벽 PHP 신규 취약점(CVE-2026-115560)에 대한 임시 조치를 권고했다. PHP 개발팀에 따르면 이번 결함은 로그인 정보(세션)를 처리하고 파일 업로드 진행 상황을 기록하는 과정에서 발생한다. 특정 시스템 설정이 겹치면 해커가 외부에서 임의의 명령을 실행할 수 있는 구조다.