Node.js 2026년 10월 21일 보안패치 공개

1. 개요

• 총 10건의 보안 취약점 수정
• 주요 위험:
  • 원격 코드 실행(RCE)
  • TLS 인증서 호스트명 검증 우회
  • DNS 이름 처리 오류
  • 파일 접근 권한 검사 우회
• 대응 방안: 취약한 Node.js 런타임을 수정 버전으로 업데이트

2. 보안 패치 버전

• Node.js 26.x -> 26.12.1

• Node.js 24.x ->24.22.1

• Node.js 22.x -> 22.23.4

• 현재 사용 중인 메이저 버전에 맞는 수정 버전 적용

• 지원 종료(EOL) 버전은 지원되는 버전으로 전환 검토

3. 취약점 목록

높음 (High)

• CVE-2026-111497 — Brotli 디코더 메모리 범위 초과 쓰기

  • Brotli 압축 데이터 처리 과정에서 메모리 범위를 벗어난 쓰기 발생 가능
  • 원격 코드 실행으로 이어질 가능성
  • 외부 입력의 압축 데이터를 처리하는 서버는 우선 패치

• CVE-2026-105483 — TLS 호스트명 검증 우회

  • 특정 IP 주소 표현 방식에서 인증서 호스트명 검증이 우회될 수 있음
  • HTTPS 통신의 서버 신뢰성에 영향

• CVE-2026-106069 — TLS 호스트명 검증 우회

  • TLS 인증서 호스트명 검증 과정의 오류
  • HTTPS 클라이언트 및 외부 API 연동 시스템에 영향

• CVE-2026-105482 — DNS NUL 문자 처리 오류

  • DNS 이름에 포함된 NUL 문자로 인해 이름이 잘못 처리될 수 있음
  • DNS 조회 결과에 의존하는 애플리케이션에 영향

중간 (Medium)

• HTTP Keep-Alive 응답 처리 오류

  • HTTP 연결 유지 과정에서 요청 및 응답 처리가 잘못될 가능성

• 암호학적 난수 캐시 재사용

  • 특정 실행 환경에서 난수값이 반복될 가능성
  • 난수의 예측 불가능성에 의존하는 기능에 영향

낮음 (Low)

• ZIP 헤더 검증 오류

  • ZIP 데이터 검증 과정의 오류로 특정 데이터가 노출될 가능성

• Permission Model 권한 검사 우회 1

  • 파일 접근 권한 제한이 의도대로 적용되지 않을 가능성

• Permission Model 권한 검사 우회 2

  • 권한 검사 과정의 추가적인 우회 가능성