Node.js를 넘어선 Brotli 취약점, 어디까지 점검하고 디코딩은 끌 수 있나
Node.js의 런타임 업데이트로 드러난 Brotli 디코더 결함은 같은 C 코드를 포함한 Python 패키지에도 영향을 줍니다. 각 환경의 입력 경로와 수정 버전, Brotli 디코딩을 끄는 선택지를 살펴보되, 기능 비활성화가 패치를 대체하는지는 구분해야 합니다.
최신기사
AI, 개발 도구, 오픈소스, 보안과 인프라의 변화와 이용 조건을 설명하는 최신 기사와 해설입니다.
Broccoli2Shell: Node.js·Python 등의 Brotli 디코더 원격 코드 실행 취약점 (CVE-2026-111497)
Brotli의 C 디코더가 잘못된 블록 전환을 처리하는 과정에서 버퍼를 넘겨 쓰는 취약점이 발견됐습니다. 공격자가 조작한 압축 데이터를 디코딩하는 Node.js와 Python 앱 등이 영향을 받으며, 수정된 런타임과 라이브러리로 올리고 관련 프로세스를 재시작해야 합니다.
Node2Shell: Node.js Brotli 취약점으로 원격 코드 실행 가능 (CVE-2026-111497)
Node.js의 Brotli 디코더에서 비정상 입력이 메모리 경계를 벗어나 쓰게 하는 취약점이 발견됐습니다. 공격자가 조작한 압축 데이터를 처리하면 서비스 장애나 메모리 노출, 원격 코드 실행으로 이어질 수 있으며, 패치 버전으로 업그레이드해야 합니다.
Node.js, 2026년 10월 21일 보안 릴리스
Node.js 26.x, 24.x, 22.x에서 발견된 취약점을 해결하는 보안 업데이트가 배포됩니다. 최고 심각도는 세 릴리스 라인 모두 HIGH이며, Brotli 디코더의 범위를 벗어난 쓰기 취약점은 원격 코드 실행으로 이어질 수 있습니다.
console.log 한 줄이 연간 4만 달러를 쓰고 있었습니다
요청 본문을 매번 JSON으로 직렬화해 로그 문자열을 만든 뒤, 운영 환경의 로그 수준이 warn이라 버리는 코드가 API 지연과 서버 비용을 키웠습니다. 로거가 출력 여부를 판단하기 전에 문자열을 만들지 않도록 고친 뒤 p99 지연이 낮아지고 인스턴스를 줄여 연간 약 4만 달러를 절감했다고 설명합니다.
Node.js 26 기본 Temporal API, Date의 서머타임 한 시간 오차를 바로잡습니다
Node.js 26에서 기본 활성화된 Temporal API로 달력 기준 하루 더하기를 처리하면, 서머타임 전환 때 Date에서 생기는 한 시간 오차를 피할 수 있습니다. 다만 작성자의 벤치마크에서는 Temporal의 .add()가 Date보다 약 19배 느렸고, 잘못된 날짜 입력도 기본 설정에서는 오류 대신 보정하므로 주의가 필요합니다.
Fetch를 취소해도 Node.js 서버는 계속 실행됩니다 — 실제 작업을 멈추는 방법
클라이언트에서 `fetch`를 취소해도 서버 핸들러와 하위 API 요청, PostgreSQL 쿼리는 자동으로 멈추지 않습니다. 응답 연결 종료를 감지해 `AbortSignal`을 전달하고, DB 쿼리는 별도 연결로 취소해야 합니다. Node.js 버전별 차이와 취소 뒤 트랜잭션·재시도를 다루는 방법도 실험으로 확인합니다.
Deno와의 우정은 끝났고, 이제 Node가 가장 친한 친구입니다
Deno를 주로 쓰던 저자가 SvelteKit 프로젝트와 정적 사이트 생성기를 Node.js로 옮긴 경험을 공유합니다. Node.js v26.10.0에서 마이그레이션 작업은 적었고 빌드 시간은 15% 줄었지만, Deno의 권한 관리와 편리한 기본 기능을 선호하는 개발자들의 반론도 나왔습니다.
mathmain에 암호화된 로더가 필요한 이유는 무엇인가
mathmain과 유사 패키지 2개에 암호화된 원격 접근 implant가 숨겨져 있었습니다. 특정 3×3 행렬의 LU 분해 결과가 암호 해독 비밀번호가 되며, 해독된 코드는 Slack과 블록체인을 C2 채널로 사용해 원격 코드를 실행합니다.