PHP 이어 Node.js까지…한 주에 겹친 '웹 인프라 보안 주간'

PHP에 이어 이번엔 Node.js다. 전 세계 웹 서비스의 양대 기반 기술이 같은 주에 나란히 긴급 보안 패치를 내놨다. Node.js 프로젝트는 지난 21일(현지시간) 보안 릴리스를 공개하고 원격 코드 실행 가능성을 포함한 취약점 10건을 수정했다고 밝혔다. 'PHP2Shell' 패치가 나온 바로 그날이다.

Node.js는 웹사이트의 화면 뒤에서 데이터를 처리하는 서버, 이른바 백엔드를 만드는 데 가장 널리 쓰이는 실행 환경 가운데 하나다. 국내외 스타트업의 API 서버와 웹 서비스 상당수가 이 위에서 돌아간다. 이번 패치가 PHP 사태만큼 파급이 큰 이유다.

수정된 취약점 가운데 위험도 '높음'은 4건이다. 가장 주목되는 것은 압축 데이터(Brotli)를 풀다가 메모리 범위를 벗어나 쓰기가 일어나는 결함(CVE-2026-111497)으로, 외부에서 보낸 압축 데이터를 처리하는 서버라면 원격 코드 실행으로 이어질 수 있다. 보안 통신(TLS)의 인증서 검증을 우회할 수 있는 결함도 2건 수정됐다. IP 주소를 전각 숫자로 쓰거나 호스트명이 IP로 느슨하게 해석되는 경우 가짜 서버가 진짜 행세를 할 수 있는 구멍이다. DNS 이름에 특수 문자(NUL)가 끼어들면 주소가 잘못 처리되는 결함까지, 네 건 모두 서버와 외부의 통신 길목을 노린다.

이 밖에 HTTP 연결 유지 처리 오류, 암호학적 난수가 반복될 수 있는 결함 등 중간 등급 2건과 낮음 등급 4건이 함께 수정됐고, OpenSSL·c-ares·SQLite·운디치(Undici) 등 Node.js에 딸려 가는 핵심 부품들의 보안 업데이트도 포함됐다.

대응은 간명하다. 수정판은 26.12.1, 24.22.1, 22.23.4로, 서버 운영자는 사용 중인 버전 계열에 맞는 수정판으로 업데이트하고 서비스를 재기동하면 된다. 지원이 끝난 옛 버전(20 이하)을 쓰고 있다면 지원 버전으로 갈아타는 것이 근본 처방이다. 명령어 한 줄(node -v)로 버전부터 확인하는 것이 시작이다.

한 주 사이 PHP와 Node.js가 연달아 흔들리면서, 보안업계에서는 이번 주를 '웹 인프라 보안 주간'으로 부른다. 웹의 바탕을 이루는 오픈소스 기술은 공짜로 쓰는 만큼 패치를 따라가는 것이 유일한 사용료다. PHP2Shell 사태가 보여줬듯, 구멍은 공개되는 순간부터 공격자의 일정표에 올라간다.