웹사이트와 서버 개발에 널리 사용되는 소프트웨어 실행 환경인 Node.js에서 외부 공격자가 서버를 원격으로 제어할 수 있는 보안 취약점이 발견됐다. 보안업계에 따르면 Node.js 프로젝트는 지난 21일 공식 보안 공지를 통해 Node.js에 포함된 브로틀리(Brotli) 압축 해제 모듈에서 원격 코드 실행을 허용할 수 있는 취약점(CVE-2026-111497)이 발견됐다고 밝혔다. 공격자는 이 취약점을 악용해 별도의 인증 절차 없이 서버를 비정상 종료시키거나 악성 코드를 원격으로 실행할 수 있다. 실제 공격 가능성은 서버의 압축 데이터 처리 방식과 실행 환경 등에 따라 달라진다. 해당 취약점을 제보한 연구진은 오픈AI 코덱스 보안팀이다. KISA는 영향을 받는 Node.js 버전의 사용자들에게 최신 보안 업데이트 적용을 권고했다. PHP 개발진은 앞서 인증 없이 악성 코드를 원격으로 실행할 수 있는 치명적인 취약점 2건을 확인하고, 지난 21일 보안 업데이트를 배포했다.