2026-10-27
Brotli 취약점 CVE-2026-111497(Node2Shell): Node.js, Python, .NET 확인 방법과 업데이트 대상
2026년 10월 21일(미국 시간) Google은 공식 Brotli 라이브러리의 범위 밖 쓰기 취약점 CVE-2026-111497을 수정한 Brotli 1.2.1, 1.1.1, 1.0.10을 공개했습니다. Brotli 1.0.3–1.0.9, 1.1.0, 1.2.0이 영향을 받습니다. 조작된 Brotli 데이터를 압축 해제하면 메모리가 손상되어 크래시, 메모리 내용 노출, 경우에 따라 임의 코드 실행으로 이어질 수 있습니다. Google은 CVSS v4.0 기준 9.2로 평가했습니다. Node.js는 같은 날 22.23.4, 24.22.1, 26.12.1을 공개했고, 10월 22일에는 PyPI 패키지가 brotli 1.2.1과 brotlicffi 1.2.1.0에서 수정되었습니다. Microsoft는 10월 25일(미국 시간) .NET 8, 9, 10용 수정(8.0.33, 9.0.22, 10.0.14)을 공개했으며, Bun(1.4.4)과 Envoy도 수정을 배포했습니다. 일본의 컴퓨터 비상 대응팀인 JPCERT/CC는 10월 26일 Node2Shell과 HTTP2Shell이라는 별칭을 언급한 주의 환기를 발표했습니다. 많은 프로그램이 자체 Brotli 사본을 포함하므로, 운영체제의 라이브러리를 업데이트해도 공식 Node.js 빌드, PyPI의 Python wheel, 컨테이너 이미지, 단일 파일 실행 파일 안의 사본은 수정되지 않습니다. 10월 27일 오전(일본 시간) 기준 CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그에는 등재되지 않았고, 악용을 보고한 1차 출처도 없습니다. 이 사이트의 결론: Node.js, Bun, Python 또는 .NET 서비스가 외부에서 받은 데이터를 압축 해제한다면 오늘 버전을 확인하고 업데이트한 뒤 컨테이너와 실행 파일을 다시 빌드하십시오.