핵심 내용
Node.js 프로젝트는 10월 21일 보안 릴리스에서 Node.js 22.23.4, 24.22.1, 26.12.1을 제공했다. 공식 공지에 열거된 취약점은 총 10건이며, 최고 심각도는 High다. 특히 CVE-2026-111497은 Brotli 디코더의 범위 밖 쓰기 문제로 원격 코드 실행 가능성이 명시됐고, CVE-2026-105483·CVE-2026-106069는 특정 형태의 호스트명에서 TLS 인증서 검증을 우회할 수 있는 문제다. DNS 이름에 NUL 문자가 포함될 때의 처리, 재사용 소켓, 난수 캐시가 포함된 스냅샷, 파일 접근권한 검사 문제도 수정 대상이다.
공지는 영향을 받는 버전 계열이 취약점마다 다르다고 설명한다. 예를 들어 Brotli 문제는 22·24·26 계열에 모두 적용되지만 일부 파일 접근 검사 문제는 26 계열에만 해당한다. c-ares, 인증서, OpenSSL, SQLite, Undici 등 종속 구성요소도 업데이트됐다. 취약점이 존재한다는 사실이 모든 Node.js 애플리케이션이 이미 침해됐다는 의미는 아니다.
배경
Node.js는 서버 API, 실시간 서비스, 개발자 도구와 Agent 실행환경에 광범위하게 사용된다. 애플리케이션 자체 코드와 무관한 런타임·네트워크 처리 취약점은 패키지 설치만으로 해결되지 않을 수 있다.
산업·시장에 미치는 영향
웹서비스 운영자뿐 아니라 Node.js를 내장한 CLI, 데스크톱 제품, 개발용 컨테이너도 업데이트 범위를 점검해야 한다. 오래된 런타임과 종료된 지원 계열은 공급자별 보안지원 여부가 불확실할 수 있다.
실무에서 바로 활용할 수 있는 시사점
운영 서버·CI 이미지·로컬 자동화 환경의 Node.js 실제 버전을 목록화하고 지원 계열의 수정 버전으로 갱신해야 한다. TLS·압축·DNS·파일권한 관련 회귀 테스트를 실행하고, 기본 이미지나 배포 도구가 이전 런타임을 포함하지 않는지 확인해야 한다.