스크랩
Node.js 10월 보안 패치 공개: 원격 코드 실행(RCE)과 TLS 검증 우회 등 취약점 10건 수정, 지금 업데이트하세요
한눈에 보는 핵심 요약
2026년 10월 21일 Node.js 팀이 정기 보안 릴리스를 공개했습니다. 이번 패치로 총 10건의 보안 취약점이 수정됐고, 그중에는 **원격 코드 실행(RCE)**으로 이어질 수 있는 심각한 문제도 있습니다.
- 🔴 주요 위험: 원격 코드 실행, TLS 인증서 호스트명 검증 우회, DNS 이름 처리 오류, 파일 접근 권한 검사 우회
- ✅ 대응 방법: 사용 중인 Node.js 런타임을 수정 버전으로 업데이트
Node.js로 서버를 운영하거나 외부 API와 HTTPS로 통신하는 서비스라면 꼭 확인해 주세요.
업데이트해야 할 버전
지금 쓰고 있는 메이저 버전에 맞는 수정 버전으로 올리면 됩니다.
| 메이저 버전 | 수정 버전 | |---|---| | Node.js 26.x | 26.12.1 | | Node.js 24.x | 24.22.1 | | Node.js 22.x | 22.23.4 |
💡 지원이 종료된(EOL) 버전을 쓰고 있다면? EOL 버전에는 보안 패치가 나오지 않습니다. 이번 기회에 지원되는 버전으로 옮기는 것을 검토해 보세요.
취약점 자세히 보기
🔴 높음 (High)
1. CVE-2026-111497: Brotli 디코더 메모리 범위 초과 쓰기
- Brotli로 압축된 데이터를 처리할 때 할당된 메모리 범위를 벗어나 쓰기가 일어날 수 있습니다.
- 원격 코드 실행으로 이어질 수 있어 이번 릴리스에서 가장 위험한 항목입니다.
- 외부에서 받은 압축 데이터를 처리하는 서버라면 가장 먼저 패치하세요.
2. CVE-2026-105483: TLS 호스트명 검증 우회
- 특정한 IP 주소 표기 방식을 쓰면 인증서 호스트명 검증을 우회할 수 있습니다.
- 접속한 HTTPS 서버가 진짜 그 서버인지 확인하는 과정에 영향을 줍니다.
3. CVE-2026-106069: TLS 호스트명 검증 우회
- TLS 인증서 호스트명 검증 과정에서 생기는 또 다른 오류입니다.
- HTTPS 클라이언트와 외부 API 연동 시스템이 영향을 받습니다.
4. CVE-2026-105482: DNS NUL 문자 처리 오류
- DNS 이름에 NUL 문자가 들어 있으면 이름이 잘못 해석될 수 있습니다.
- DNS 조회 결과를 믿고 동작하는 애플리케이션이 영향을 받습니다.
🟠 중간 (Medium)
HTTP Keep-Alive 응답 처리 오류
- 연결을 유지(Keep-Alive)하는 동안 요청과 응답이 잘못 처리될 수 있습니다.
암호학적 난수 캐시 재사용
- 특정 실행 환경에서 같은 난수값이 반복해서 나올 수 있습니다.
- 토큰이나 키 생성처럼 난수를 예측할 수 없어야 하는 기능에 영향을 줍니다.
🟢 낮음 (Low)
ZIP 헤더 검증 오류
- ZIP 데이터를 검증하는 과정의 오류로 일부 데이터가 노출될 수 있습니다.
Permission Model 권한 검사 우회 (2건)
- Node.js Permission Model의 파일 접근 제한이 의도한 대로 적용되지 않을 수 있습니다.
- 권한 검사 과정에서 우회할 수 있는 경로가 하나 더 확인됐습니다.
에디터의 한마디: 지금 이렇게 하세요
- 버전 확인:
node -v로 현재 런타임 버전을 확인합니다. - 우선순위 정하기: 외부에서 압축 데이터를 받는 서버나 HTTPS로 외부 API를 호출하는 서비스부터 업데이트합니다.
- 배포 환경 전체 점검: 로컬 환경뿐 아니라 Docker 베이스 이미지, CI/CD 러너, 서버리스 런타임 설정의 Node.js 버전도 함께 올려야 합니다.
- EOL 버전 정리: 지원이 끝난 버전은 패치가 나오지 않으니 마이그레이션 계획을 세웁니다.
RCE와 TLS 검증 우회는 실제 공격에 악용되기 쉬운 유형입니다. "나중에 하지" 하고 미루기보다는 이번 주 안에 패치를 끝내는 것을 권합니다. 🔒