[보안] Node.js 보안 취약점 안내
안녕하세요, 카페24 호스팅센터입니다.
Node.js의 보안 취약점이 확인되어 안내드립니다. Node.js를 이용 중이신 고객께서는 아래 내용을 확인하시고 사용 환경에 맞는 조치를 진행해 주시기 바랍니다.
1. 개요
Node.js 22.23.4, 24.22.1, 26.12.1 미만 버전에서 인증서 검증 우회, 메모리 손상(Out-of-bounds Write) 등으로 이어질 수 있는 보안 취약점이 확인되었습니다. 아래에서 이용 중인 상품별 안내를 확인해 주시기 바랍니다.
2. 관련 CVE
| CVE 번호 | 취약점 유형 |
|---|---|
| CVE-2026-105482 | Null Byte(NUL 문자) 처리 미흡 |
| CVE-2026-105483 | 인증서 호스트 불일치 검증 오류 |
| CVE-2026-106069 | 인증서 호스트 불일치 검증 오류 |
| CVE-2026-111497 | 반환값 미확인 및 메모리 범위 밖 쓰기(Out-of-bounds Write) |
3. 영향받는 버전 / 해결 버전
| 영향받는 버전 | 해결 버전 |
|---|---|
| 22.23.4 미만 | 22.23.4 이상 |
| 24.22.1 미만 | 24.22.1 이상 |
| 26.12.1 미만 | 26.12.1 이상 |
4. 상품별 안내
4-1. node.js 호스팅 (카페24 관리형 런타임)
해당 상품은 현재 EOL(지원 종료) 버전의 Node.js를 이용하고 있어 공식 제공사의 보안 패치가 제공되지 않습니다. 카페24에서 콘텐츠 헤더(br) 차단 등 네트워크 구간 보안 조치를 적용할 예정입니다.
- 고객 조치: 최신 버전의 node.js 이용이 가능한 node.js VPS 호스팅 상품으로 이전하시거나, 최상단 미들웨어 또는 인바운드 인코딩 목록에서 br(brotli) 요청을 거부하도록 설정하시기 바랍니다. 현 상품에서는 br 요청에 대해 예고 없이 차단할 수 있습니다.
4-2. 개발언어 VPS 호스팅
Node.js 설치 시점마다 최신 버전이 자동으로 제공되는 상품입니다.
- 신규로 설치하시는 경우: 자동으로 해결 버전이 제공되므로 별도 조치가 필요하지 않습니다.
- 이미 설치해 사용 중이신 경우: 설치 시점의 버전이 유지되므로,
node -v로 현재 버전을 확인하신 뒤 위 영향받는 버전에 해당하면 직접 업데이트해 주시기 바랍니다.
4-3. 서버호스팅 (Node.js 직접 설치·운영 환경)
서버에 Node.js를 직접 설치해 운영 중인 상품으로, 카페24가 대신 패치를 적용할 수 없는 영역입니다. 아래 절차에 따라 직접 조치해 주시기 바랍니다.
- 운영 중인 Node.js 버전이 위 영향받는 버전에 해당하는지 확인해 주세요.
- 해당되는 경우, 해결 버전 이상으로 즉시 업데이트해 주시기 바랍니다.
- 업데이트 전까지는 외부에 노출된 Node.js 서비스에 대한 접근을 제한하는 등 임시 조치를 취해 주시기 바랍니다.
5. 참고사이트
자세한 내용은 아래 공식 발표를 참고해 주세요.
6. 문의처
- 한국인터넷진흥원 사이버민원센터: 국번없이 118
- 카페24 호스팅 고객센터
※ Node.js 호스팅 상품은 서비스 정상 작동여부 검증이 필요하여, 필요에 따라 고객님의 코드 수정 등 후속 작업이 필요할 수 있습니다. 최신버전의 node.js의 이용을 고려하신다면 node.js VPS 호스팅 상품으로의 전환을 고려해 보시기 바랍니다.
더 나은 서비스를 제공하기 위해 항상 노력하겠습니다.
감사합니다.