Broccoli2Shell: Node.js·Python 등의 Brotli 디코더 원격 코드 실행 취약점 (CVE-2026-111497)
Brotli의 C 디코더가 잘못된 블록 전환을 처리하는 과정에서 버퍼를 넘겨 쓰는 취약점이 발견됐습니다. 공격자가 조작한 압축 데이터를 디코딩하는 Node.js와 Python 앱 등이 영향을 받으며, 수정된 런타임과 라이브러리로 올리고 관련 프로세스를 재시작해야 합니다.
최신기사
AI, 개발 도구, 오픈소스, 보안과 인프라의 변화와 이용 조건을 설명하는 최신 기사와 해설입니다.
로그에 무엇이 담기는지 알아두세요
버그 보고서에 첨부하는 로그에는 화면에 보인 문구, 사적인 메시지, URL의 인증 토큰 등 민감한 정보가 들어갈 수 있습니다. 글쓴이는 로그 전송을 기본적으로 끄고 내용을 명확히 알리며, 꼭 필요한 정보만 수집하라고 개발자에게 요구합니다.
Apple 보안 연구 기기
Apple의 Security Research Device(SRD)는 보안 기능을 우회하지 않고 iOS를 연구하도록 구성한 특수 iPhone입니다. 셸 접근과 커널 수정 등을 허용하고 연구 결과를 Apple에 보고하면 Apple Security Bounty 심사 대상에 자동으로 포함합니다.
법적 위협 속 30만 대 Flock 기기 지도를 공개한 Proton
Proton이 미국 내 Flock 감시 기기 30만여 대의 위치를 보여주는 지도를 공개했습니다. 지도는 2025년 12월 자료를 담은 스냅샷으로, 보안 연구자에 대한 법적 위협과 감시 데이터의 정확성 논란도 이어지고 있습니다.
2026년 3분기 CVE 수, 2024년 이전의 어느 한 해보다 많아
CVE 목록에서 2026년 1월 1일부터 10월 23일까지 공개된 취약점은 8만 6,292건으로 전년 같은 기간의 2.2배입니다. AI 발견자 표기는 22배 늘었지만, 대형 업체의 발견 경로가 공개되지 않아 급증의 원인을 AI로 확정할 수는 없습니다.
봇넷을 막으려고 300만 대 PC에 RCE를 실행했습니다
Eye Security는 방치된 Time4Popcorn 업데이트 서버의 취약점을 이용해 Windows와 macOS 시스템에서 업데이터를 비활성화했습니다. 200만 회 넘게 업데이트를 전달했고 요청량을 98% 줄였지만, 임의 코드 실행으로 타인의 시스템을 변경한 조치의 정당성을 둘러싼 논란도 남았습니다.
Node2Shell이 HTTP2Shell로 확산되다
Brotli 디코더 취약점 CVE-2026-111497은 Node.js뿐 아니라 Python 패키지와 여러 HTTP 구성요소에도 영향을 줍니다. 취약 버전과 패치 방법, Brotli 처리를 잠시 끄는 우회책을 정리합니다.
인도 정부 사이트 156곳, 폐기된 eMudhra 인증서 계속 사용
eMudhra 인증서 폐기 뒤에도 인도 정부 사이트 156곳이 폐기된 TLS 인증서를 계속 제공했다고 글쓴이가 조사했습니다. 브라우저마다 폐기 확인 방식이 달라 접속 차단 여부도 다르며, 별도로 키 노출 사고의 영향으로 emSign G3 루트 인증서 신뢰가 중단돼 약 3만 건의 인증서를 교체해야 합니다.
Node2Shell 취약점, Python의 Brotli·brotlicffi 패키지에도 영향
Node2Shell(CVE-2026-111497)은 Node.js만의 문제가 아니라 공유 Brotli C 디코더의 취약점입니다. PyPI의 Brotli와 brotlicffi도 영향을 받으며, 글은 패치 버전과 의존 환경의 확인·업데이트 방법을 제시합니다.
이것이 새로운 사이버 뉴노멀일까요?
PHP, GitLab, LiteLLM 등에서 중대한 취약점과 보안 사고가 잇따르며, AI가 취약점 분석과 공격 준비에 걸리는 시간을 줄였는지 논쟁이 벌어집니다. 글쓴이는 공개와 패치 사이의 시간이 짧아진 현실에 맞춰 대응 속도와 보안 관행을 바꿔야 한다고 봅니다.
시는 Flock 계약을 해지했지만 Flock은 이를 무시했습니다. 경찰서장은 카메라 전원을 뽑았습니다
미네소타주 플리머스시는 9월 22일 Flock의 차량번호판 인식 카메라(ALPR) 계약을 해지했지만, 회사는 카메라 철거 일정을 알리지 않았습니다. 경찰서장은 회사에 해지 사실을 통보하고 일주일 넘게 답을 기다린 뒤 카메라 전원선을 뽑았습니다.
PHP를 패치하세요: PHP2Shell이 워드프레스 사이트에 미치는 영향
PHP2Shell 취약점 두 건은 로그인 없이 서버에서 코드를 실행할 수 있으며, 워드프레스나 플러그인 업데이트만으로는 해결되지 않습니다. 글은 PHP 패치 버전과 배포판 백포트 확인법, 호스팅 업체 확인 절차, 임시 완화 설정을 정리합니다.
Meta 새 상업 약관, AI 오류 책임을 고객에게 돌려
Meta가 10월 30일 시행 예정인 상업 약관에서 AI 결과물의 위험과 책임을 고객에게 부담시키고, 고객이나 대리인이 Meta 제품과 관련해 올린 콘텐츠에 폭넓은 이용 허락을 요구합니다. 웹 크롤링 조항은 논란 뒤 설명을 추가하겠다고 밝혔지만, 보도 당시 문구는 바뀌지 않았습니다.
기업 방화벽·VPN 침해로 자격 증명 7만 건 이상 노출
Group-IB와 NyxLab은 Fortinet·Palo Alto Networks의 인터넷 노출 네트워크 장비를 노린 침해 캠페인을 공개했습니다. 공격자는 취약점 악용과 비밀번호 대입으로 접근한 뒤 원격 접속을 유지하고 데이터를 유출했으며, 관련 자격 증명 7만 건 이상을 확인했습니다.
University Hospitals, 서버 이상 활동 감지 후 시스템 인터넷 연결 차단
미국 University Hospitals는 서버에서 비정상 활동을 감지한 뒤 예방 조치로 시스템의 인터넷 연결을 끊었습니다. 환자 진료에는 현재 영향이 없다고 밝혔지만 디지털 서비스 중단은 며칠 이어질 수 있습니다. 별도로 발생한 Quest Diagnostics의 침해 사고와의 연관성은 확인되지 않았습니다.
Kimi K3.1 Pro와 K3.1 Pro Highspeed
Moonshot AI가 Kimi K3를 후속 학습한 K3.1 Pro를 공개했습니다. 100만 토큰 문맥 창과 코딩·3D·금융 성능 개선을 내세웠으며, 사이버 보안 관련 학습 데이터를 제한한 오픈 웨이트는 11월 4일까지 공개할 예정입니다.
스웨덴 정부, 월요일부터 업무용 컴퓨터에서 ChatGPT·Claude 차단
스웨덴 정부청사는 직원 업무용 컴퓨터에서 개인용 ChatGPT와 Claude 접속을 차단하고 승인된 Microsoft Copilot 사용을 안내합니다. 계약 없는 AI 서비스에 민감한 정보를 입력할 때의 보안 위험이 이유이며, 일부 직원은 내부 AI 플랫폼을 통해 두 모델에 계속 접근합니다.
캐나다인에게 Bill C-22에 반대할 시간이 얼마 남지 않았습니다
캐나다 의회에서 감청 협조와 메타데이터 보관 의무를 확대하는 Bill C-22가 상원을 앞두고 있습니다. EFF는 암호화 약화와 개인정보 침해를 우려하며 CCLA의 반대 청원 참여를 촉구합니다.
PHP, 긴급 PHP2Shell 패치 이틀 만에 추가 미패치 RCE 경고
PHP가 특정한 세션 설정 조합에서 발생하는 추가 원격 코드 실행(RCE) 경로를 공개했습니다. 영향 범위가 좁아 긴급 패치 대신 session.upload_progress 비활성화를 권고했으며, 앞서 PHP2Shell 대응으로 같은 설정을 껐다면 추가 조치는 필요하지 않습니다.
에이전트 보안의 세 층위: 지침 유입, 실행 통제, 행동 감시
다운로드 폴더의 악성 지침은 에이전트가 신뢰하는 입력 경계의 위험을 보여주고, OpenShell은 실행 단계의 접근 통제를 제시하며, METR·Redwood Research의 평가는 모니터링의 공백을 드러냅니다. 각 자료가 다루는 보안 층위와 한계를 나눠 살펴봅니다.