【와티비커뮤니티-WATVcommunity】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 스포츠뉴스 : 안구정화 놀이터홍보 놀이터후기공유 피해사례공유

로그인

채팅

글쓰기

[IT뉴스]전 세계 웹 덮친 구글 압축기술 결함…PHP투셸만이 문제가 아니었다

온카뱅크관리자

2026-10-25 14:57:25

<div id="layerTranslateNotice" style="display:none;"></div>  <strong class="summary_view" data-translation="true">구글 데이터 압축 기술 브로틀리 결함…'노드투셸' 넘어 웹 전체 'HTTP투셸'로 확산<br>노드JS 이어 파이썬·C++·엔보이도 직격탄…8개월 전 오픈AI 제보 방치<br>보안 위험도 9.2점 초고위험군…"개별 프로그램마다 라이브러리 일일이 업데이트해야"</strong> 
        <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
         <section dmcf-sid="2ZJ3tyJ6ti">
          <figure class="figure_frm origin_fig" contents-hash="baa18dbd329233e587d8086adbc86549c495d3f2752872592c37e5bfb191082f" dmcf-pid="V5i0FWiP5J" dmcf-ptype="figure">
           <p class="link_figure"><img alt="[서울=뉴시스] 노드JS 로고. (사진=노드JS) *재판매 및 DB 금지" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/25/newsis/20261025145524183mslf.jpg" data-org-width="305" dmcf-mid="KiIQ6BIkHL" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/25/newsis/20261025145524183mslf.jpg" width="658"></p>
           <figcaption class="txt_caption default_figure">
            [서울=뉴시스] 노드JS 로고. (사진=노드JS) *재판매 및 DB 금지
           </figcaption>
          </figure>
          <p contents-hash="729e4344b230ae8944e8b4701ac460c6191f2bd3e1337d552ff6bd02fb5a0d6b" dmcf-pid="f1np3YnQ1d" dmcf-ptype="general">[서울=뉴시스]이주영 기자 = 웹사이트와 서버 프로그램 개발에 널리 쓰이는 노드JS(Node.js)에서 발견된 보안 취약점이 파이썬 등 다른 소프트웨어에서도 확인되면서 보안 우려가 커지고 있다.</p>
          <p contents-hash="5f29530bbb599a489fa1603bc0619fe64721a5a82d4ce649466d1a16e3c33fd0" dmcf-pid="4O9ShE9U1e" dmcf-ptype="general">문제의 원인은 구글이 개발한 데이터 압축 기술 '브로틀리(Brotli)'에 있다는 사실이 밝혀졌다. 여러 프로그램이 공통으로 사용하는 기술에 결함이 있어, 이를 활용하는 다양한 소프트웨어가 해킹 위험에 노출될 수 있다는 지적이다.</p>
          <p contents-hash="e829b541972a9a951b93b79f37fc244b5000f70ac58bb3af6029eb19b36a0537" dmcf-pid="8I2vlD2uYR" dmcf-ptype="general">25일 정보기술(IT) 업계에 따르면 보안업체 아이키도 시큐리티는 지난 23일 공개한 분석 보고서에서 노드JS의 보안 취약점 '노드투셸(Node2Shell)'이 브로틀리 압축 해제 기능의 결함에서 비롯됐다고 밝혔다.</p>
          <p contents-hash="b9b45383a2603df5570fb56444931c838d0be9188db1094ad87e7cbff0af8de3" dmcf-pid="6CVTSwV7YM" dmcf-ptype="general">이후 조사에서 파이썬용 압축 라이브러리와 웹 통신을 중계하는 엔보이(Envoy) 등에서도 같은 결함이 확인됐다. 아이키도는 취약점의 영향 범위가 노드JS를 넘어 HTTP 통신 관련 소프트웨어 전반으로 확대됐다는 점에서 'HTTP투셸(HTTP2Shell)'이라는 이름을 붙였다.</p>
          <h3 contents-hash="ac2094fc89fddbcfd53df05800896b4b0098d6cc2b38a84071d87aa8e22449f1" dmcf-pid="PhfyvrfzXx" dmcf-ptype="h3">노드JS만의 문제 아니었다…구글 압축 기술서 결함 발견</h3>
          <div contents-hash="920e510cc645640debb285ac0c19a2d381eae42d2ebf87e168d8ad7841cc7470" dmcf-pid="Ql4WTm4qHQ" dmcf-ptype="general">
            이번 취약점의 근본 원인은 구글이 개발한 데이터 압축 기술 '브로틀리'에 있다.
          </div>
          <p contents-hash="fbd1a1617e0a811199c9e528ad02e014a67a88486cc84a377dd8683608de0a1c" dmcf-pid="xS8Yys8B1P" dmcf-ptype="general">브로틀리는 웹페이지의 문자와 프로그램 코드 등의 용량을 줄여 인터넷으로 빠르게 전송하도록 돕는 기술이다. 웹사이트와 서버는 전송된 압축 데이터를 다시 풀어 원래 내용으로 복원하는데, 이 과정에서 보안 결함이 발생할 수 있다는 것이다.</p>
          <p contents-hash="8ac83b312743ac68ee88e540b817dd3e5ea094b74c48cbf52342e971e18b9303" dmcf-pid="y6lRx9lwG6" dmcf-ptype="general">문제는 압축을 해제하는 프로그램이 비정상적인 데이터를 제대로 걸러내지 못한다는 점이다. 공격자가 특수하게 조작한 압축 데이터를 보내면 프로그램이 허용된 메모리 영역을 벗어나 데이터를 기록하는 오류가 발생할 수 있다. </p>
          <p contents-hash="96e2fcd169eeb05f742773083c7c74a0622653267088a0a65b178c44b37b7a0a" dmcf-pid="WPSeM2Srt8" dmcf-ptype="general">이를 악용하면 서버가 비정상적으로 종료되거나 메모리 정보가 유출될 수 있다. 특정 조건에서는 공격자가 원격으로 악성 코드를 실행할 가능성도 있다.</p>
          <p contents-hash="27954962baa47951f4d70f82dd56c3fe7c90f1cd69be68c98907d0c9449e3c0b" dmcf-pid="YQvdRVvm14" dmcf-ptype="general">해당 취약점에는 'CVE-2026-111497'이라는 식별번호가 부여됐다. 보안 취약점의 위험도를 평가하는 CVSS 4.0 기준 점수는 9.2점으로, 최고 위험 등급인 '치명적 위협'에 해당한다.</p>
          <p contents-hash="53c5825c9c0beff69e42d87476362790386d04942f3f0eaa076ba6c66c01f7ec" dmcf-pid="GxTJefTsXf" dmcf-ptype="general">지난 21일 노드JS 개발진은 브로틀리 압축 해제 과정에서 발생하는 보안 결함을 수정한 업데이트를 공개했다. 그러나 추가 분석 결과 노드JS 자체의 문제가 아니라 여러 프로그램이 공통으로 사용하는 브로틀리 라이브러리의 결함이라는 사실이 드러났다.</p>
          <p contents-hash="6ea6ff92b6d5b0c5983c75eae1959e7959401b2ec41fb242959d02f910c014ca" dmcf-pid="HMyid4yO5V" dmcf-ptype="general">아이키도에 따르면 파이썬용 압축 라이브러리인 'Brotli'와 'brotlicffi'에도 같은 취약점이 존재했다. 이들 라이브러리는 웹 통신에 사용되는 다른 프로그램에 포함되기도 해 개발자가 브로틀리를 직접 사용하지 않더라도 영향을 받을 수 있다.</p>
          <p contents-hash="85ddfd7c0e43de91f470e7b556c94b948102bb123245f0c4dff71ba99599099e" dmcf-pid="XRWnJ8WIt2" dmcf-ptype="general">웹서버와 애플리케이션 사이에서 통신을 중계하는 '엔보이'와 자바스크립트 실행 환경인 '번' 등에서도 같은 결함에 대한 보안 업데이트가 나왔다.</p>
          <p contents-hash="88b5010ab1cc6bdb1d121e42f06d6e7fc7ddac6eafdedc77c635c9fb8e7244ab" dmcf-pid="ZeYLi6YC19" dmcf-ptype="general">다만 해당 기술을 사용하는 모든 웹사이트가 위험한 것은 아니다. 취약한 버전의 브로틀리 압축 해제 기능을 사용하면서 외부에서 조작된 데이터를 처리하는 경우가 주요 공격 대상이다.</p>
          <h3 contents-hash="e31061e5ca7150a3fa092dafd60b7767169aafc0e09c32a2c575053abcd64664" dmcf-pid="5dGonPGhtK" dmcf-ptype="h3">오픈AI가 8개월 전 오류 고쳤지만…보안 취약점인 줄 몰라 </h3>
          <figure class="figure_frm origin_fig" contents-hash="7d2e0db0809991cee0030e096bf81dcb11fb3f4e299353d817e4f703d0f116ef" dmcf-pid="1JHgLQHl1b" dmcf-ptype="figure">
           <p class="link_figure"><img alt="[서울=뉴시스] 오픈AI 로고. (사진=오픈AI 제공) *재판매 및 DB 금지" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/25/newsis/20261025145524306xpaf.jpg" data-org-width="719" dmcf-mid="9CVTSwV7Gn" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/25/newsis/20261025145524306xpaf.jpg" width="658"></p>
           <figcaption class="txt_caption default_figure">
            [서울=뉴시스] 오픈AI 로고. (사진=오픈AI 제공) *재판매 및 DB 금지
           </figcaption>
          </figure>
          <div contents-hash="d53b0d3aa64d00422d7a7b6a52f192d1a614f97bde1c58250f5abdacc41af903" dmcf-pid="t8hMQKhDtB" dmcf-ptype="general">
           <br> 이번 취약점은 지난 2월 이미 근본적인 문제가 발견됐던 것으로 확인됐다.
          </div>
          <p contents-hash="3f96733a4055310c0979e6b4a78cd50816aa48d41b11932d7077926a0d5d9876" dmcf-pid="F6lRx9lwYq" dmcf-ptype="general">아이키도에 따르면 오픈AI는 당시 브로틀리 압축 해제 과정의 결함을 발견했다. 이후 문제를 해결하는 소스코드 수정이 이뤄졌다.</p>
          <p contents-hash="4848f5f127658e87d783a4965a93247ec940fed97141c2096f732821e1fa9d49" dmcf-pid="3PSeM2SrXz" dmcf-ptype="general">그러나 당시에는 해당 오류가 심각한 보안 취약점으로 인식되지 않았다. 수정된 코드도 정식 보안 업데이트로 배포되지 않아 취약한 버전의 라이브러리가 여러 소프트웨어에서 계속 사용됐다.</p>
          <p contents-hash="d9e6c8ceee1cb0dc0ab45cf79f2a81781f9a4156760d6410af0f18bd5f7b4344" dmcf-pid="0QvdRVvmY7" dmcf-ptype="general">더 큰 문제는 기존 보안 점검 도구에서도 이러한 위험을 놓칠 수 있었다는 점이다.</p>
          <p contents-hash="2d5b68360fa23e1797155ed8ee44e17b56187f484b1f07ed5f82691a916251b9" dmcf-pid="pxTJefTsZu" dmcf-ptype="general">아이키도는 지난 23일 기준 취약점 관련 데이터베이스에 파이썬 패키지의 영향 정보가 제대로 연결되지 않아 'pip-audit', 'Dependabot', 'Safety' 등 주요 보안 점검 도구가 해당 결함을 탐지하지 못한다고 지적했다.</p>
          <p contents-hash="f4d8195ac73653340bf1e45dc5ac468a45c7050cede6a140d9db90a157b94e63" dmcf-pid="UMyid4yOYU" dmcf-ptype="general">이들 도구는 개발자가 사용하는 소프트웨어에 알려진 보안 취약점이 있는지 자동으로 확인하는 역할을 한다. 그러나 취약점 정보가 등록돼 있더라도 실제로 영향을 받는 패키지와 연결되지 않으면 경고가 나타나지 않을 수 있다.</p>
          <p contents-hash="e2d97f74d729f4dced7eacc9f3069a5fc33433b170e6366f6f7c7ba4d7beafe7" dmcf-pid="uRWnJ8WIHp" dmcf-ptype="general">현재는 노드JS와 파이썬용 브로틀리 라이브러리, 엔보이 등 주요 소프트웨어에서는 수정 버전이 공개된 상태다. </p>
          <p contents-hash="0597e27457c1b144f58fe86e25eeb9452ea09de4cd2e513861f80b53bc80ed17" dmcf-pid="7eYLi6YC10" dmcf-ptype="general">다만 다른 프로그램 내부에 포함된 취약한 라이브러리는 별도로 업데이트해야 할 수 있어 기업과 기관은 사용 중인 소프트웨어뿐 아니라 내부에 포함된 구성 요소까지 점검해야 한다.</p>
          <p contents-hash="8f81f2f62c67619ae5cbe02f5d1a56d8df5254fadef401c029ee7816790c485e" dmcf-pid="zdGonPGht3" dmcf-ptype="general">보안 패치를 즉시 적용하기 어려운 경우에는 외부에서 전달되는 브로틀리 압축 데이터의 자동 해제 기능을 제한하는 등 임시 대응이 필요하다는 지적이 필요하다는 지적이다.</p>
          <p contents-hash="be307b34e51d87125c26ea0255fc643334588ba2a1b5f2896a6a4baa22abe8a2" dmcf-pid="qJHgLQHlXF" dmcf-ptype="general"><a href="https://www.newsis.com/?ref=chul" target="_blank">☞공감언론 뉴시스</a> zoo@newsis.com </p>
         </section> 
        </div> 
        <p class="" data-translation="true">Copyright © 뉴시스. 무단전재 및 재배포 금지.</p>

김정은, 사전 예고 없이 당일치기 中 방문…시진핑 회담도 생략 "서로 다른 세포 구조, 하나의 화면에서 동시에 관찰한다"

댓글 총 0개

업체홍보/구인 더보기

놀이터홍보 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기