서버 보안기술 정보 확인 2026-10-24수정 2026-10-24

Node2Shell 대응, Node.js 업데이트 순서

2026년 10월 21일 Node.js 팀이 22.x·24.x·26.x를 대상으로 보안 릴리스를 냈습니다. 수정된 취약점은 10건이고, 가장 주목받는 것은 Node.js에 들어 있는 Brotli 압축 해제 기능의 메모리 오류(CVE-2026-111497)입니다. 보안 업체 임퍼바(Imperva) 연구팀이 이 취약점으로 원격 코드 실행을 시연했고, 국내외 보도에서는 이를 “Node2Shell”이라고 부르고 있습니다.

이 글은 Node.js로 웹 서비스·API 서버·Next.js 사이트를 운영하는 분이 무엇을 확인하고 어떤 순서로 조치하면 되는지 정리합니다. 기술 정보는 2026년 10월 24일에 Node.js 보안 공지와 릴리스 일정 페이지로 확인했습니다.

무엇이 문제인가

공지에 따르면 Node.js에 함께 들어 있는 Brotli 디코더가 잘못 만들어진 압축 데이터를 받으면 할당된 메모리 범위 밖에 값을 쓸 수 있습니다. 그 결과 프로세스가 죽거나, 메모리 내용이 노출되거나, 최악의 경우 공격자가 보낸 코드가 서버에서 실행될 수 있습니다.

같은 릴리스에서 함께 수정된 High 등급 취약점은 다음과 같습니다.

나머지 6건은 Medium·Low 등급으로 keep-alive 응답 처리, 스냅샷의 난수 재사용, 권한 모델(Permission Model) 경로 검사 등이 포함됩니다.

내 서비스가 영향을 받는지

Brotli를 코드에서 직접 부르지 않아도 안심할 수 없습니다. 보도에 따르면 다음과 같은 경로로도 악성 압축 데이터가 디코더에 닿을 수 있습니다.

• 들어오는 요청의 압축을 자동으로 푸는 웹 프레임워크(예: Express 5)
• 외부 API·웹훅·URL에서 데이터를 받아 오는 서버(fetch, axios 등이 압축 응답을 처리)
• Next.js처럼 Node.js 위에서 동작하는 서버

그래서 “Brotli를 쓰는지”를 찾기보다 지금 실행 중인 Node.js 버전이 수정 버전인지를 확인하는 것이 가장 빠르고 확실합니다.

수정 버전과 지원 종료 버전

Node.js 공지는 보안 릴리스가 나올 때마다 지원 종료 버전도 영향을 받는다고 안내합니다. 20.x 이하나 홀수 버전(25, 23)을 쓰고 있다면 같은 줄기 안에서 고칠 방법이 없으므로 LTS인 24 또는 22로 옮겨야 합니다. 운영 서버에는 Current(26)보다 LTS 사용이 일반적입니다.

버전 확인하기

서버 한 대에도 Node.js가 여러 개 있을 수 있습니다. 호스트에 설치된 것, nvm으로 설치한 것, Docker 이미지 안에 들어 있는 것이 모두 다를 수 있으니 실제로 앱을 실행하는 쪽을 확인하세요.

# 서버에 설치된 Node.js
node -v

# 실행 중인 Docker 컨테이너 안의 Node.js
docker ps --format '{{.Names}}'
docker exec <컨테이너이름> node -v

# nvm으로 설치한 버전 목록
nvm ls

확인한 결과를 Node.js 버전 점검 도구에 한꺼번에 붙여 넣으면 버전마다 업데이트 필요 여부를 바로 판정해 줍니다. 판정은 브라우저 안에서만 이루어집니다.

업데이트 순서

1. 백업과 테스트 환경 준비: 같은 주 버전 안의 업데이트(예: 24.22.0 → 24.22.1)는 보안 수정 위주라 영향이 작지만, 주 버전을 바꾸는 경우(20 → 22)는 테스트 환경에서 먼저 확인합니다.
2. Node.js 설치: 설치한 방식에 맞게 올립니다. nvm을 쓴다면 nvm install 24.22.1 후 기본 버전을 바꾸고, 공식 설치 파일이나 배포판 패키지로 설치했다면 같은 경로로 수정 버전을 받습니다. 배포판 기본 저장소는 새 버전 반영이 늦을 수 있으니 설치 후 node -v로 꼭 확인하세요.
3. 앱 재시작: 이미 실행 중인 프로세스는 이전 실행 파일을 계속 씁니다. pm2·systemd·docker compose 등으로 앱을 재시작해야 수정이 적용됩니다.
4. 컨테이너 다시 빌드: Docker 이미지는 만들 때의 Node.js를 그대로 담고 있습니다. 기반 이미지를 최신으로 받아 다시 빌드하고 배포합니다.

# 기반 이미지를 새로 받아 다시 빌드
docker build --pull -t <이미지이름> .

5. 번들 앱 확인: Node.js를 실행 파일 안에 함께 묶어 배포하는 앱(단일 실행 파일, 데스크톱 앱 등)은 수정 버전으로 다시 빌드해야 합니다.

업데이트 후 확인과 임시 대응

업데이트가 끝나면 운영 중인 프로세스에서 실제 버전을 다시 확인합니다. 앱 코드에서 process.version을 로그로 남기거나, 각 컨테이너에서 node -v를 다시 실행하면 됩니다.

보도에서는 압축 해제 오류가 갑자기 늘거나, Node.js 프로세스가 비정상 종료되거나 반복 재시작되는 경우를 주의 깊게 보라고 권합니다. 이런 흔적이 업데이트 전부터 있었다면 서버 접근 로그 확인으로 의심스러운 요청을 찾아보고, 침해가 의심되면 악성코드 감염 의심 시 대처 순서를 따르세요.

당장 업데이트할 수 없다면 외부에서 들어오는 Brotli 압축 요청을 프록시에서 임시로 막는 방법이 거론되지만, 응답 처리 경로까지 막지는 못하므로 근본 해결책은 아닙니다. 수정 버전으로 올리는 일정을 최대한 앞당기는 것이 우선입니다.