# Node.js 보안 업데이트로 '22.23.4', '24.22.1', '26.12.1' 버전 배포, 총 10 개 취약점 수정

> https://bookfactory.kr/board/news/23535
> 게시판: 뉴스
> 작성자: tachikoma43
> 작성일: 2026-10-23T23:50:42.684Z

---

오픈소스 JavaScript 실행 환경인 'Node.js'가 취약점 10 개를 대응하는 보안 업데이트를 배포했습니다. 이번 업데이트는 예정대로 공개되었으며, 수정될 취약점의 심각도는 4 개가 '높음', 3 개가 '중등', 3 개가 '낮음' 수준입니다. Node.js — Wednesday, October 21, 2026 Security Releaseshttps://nodejs.org/en/blog/vulnerability/october-2026-security-releases

🔐 Node.js 보안 업데이트가 이제 이용 가능합니다! Node.js 22.x, 24.x 및 26.x 버전의 새 릴리스는 다수의 취약점을 해결하며, 그중에는 높은 심각도 문제도 포함되어 있습니다. 상세 내용을 검토하고 시스템을 업데이트하여 보안 상태를 유지하세요.🔗 https://t.co/W4kfzx5lxz#NodeJS #Security

수정된 취약점은 Node.js Brotli 디코더가 범위를 벗어난 서식을 허용하여 원격 코드 실행으로 이어지는 'CVE-2026-111497'를 포함한 총 10 건입니다. - 심각도 '고': 4 건 CVE-2026-105482: dns.resolve 에서 NUL 문자를 포함한 이름이 중간에 잘리는 취약점 CVE-2026-105483: 전역 숫자로 표기된 IP 주소로 인해 TLS 인증서의 호스트명 검증이 우회 가능한 취약점 CVE-2026-106069: IP 주소로 해석되는 호스트명으로 인해 TLS 인증서의 호스트명 검증이 우회 가능한 취약점 CVE-2026-111497: Brotli 디코더의 범위를 벗어난 서식으로 인해 원격 코드 실행이 가능한 취약점 - 심각도 '중': 3 건 CVE-2026-105481: Keep-alive 연결에서 요청 전송 전에 서식이 처리되는 취약점 CVE-2026-106072: 비표준 형식의 IPv4 주소에 대한 인증서 검증이 부적절하여 DNS 이름용 SAN 으로 IP 주소 연결 대상 인증이 가능해지는 취약점 CVE-2026-106074: crypto.randomUUID() 와 randomInt() 의 엔트로피 캐시 가 시작 시 스냅샷 또는 SEA 에 저장되어 여러 프로세스에서 동일한 값이 생성되는 취약점 - 심각도 '저': 3 건 CVE-2026-106070: Node.js ZipFile 에서 ZIP 헤더 검증 실패 후에도 공격자가 제어 가능한 앞부분 바이트 배열이 반환되는 취약점 CVE-2026-106071: Permission Model 의 와일드카드를 사용한基数 검색으로 인해 파일 시스템에 권한이 과도하게 부여되는 취약점 CVE-2026-106073: fs.realpathSync 를 사용하여 Permission Model 의 접근 제한을 우회 가능한 취약점 또한, 10 건 중 심각도 '고'인 CVE-2026-105483 은 Node.js 26.x 와 24.x 만에 영향을 미치며, 심각도 '저'인 CVE-2026-106070 과 CVE-2026-106071 의 2 건은 Node.js 26.x 만에 영향을 미치는 것으로, 나머지 7 건은 26.x, 24.x, 22.x 에서 공통적으로 영향을 받습니다.

[원문 보기](https://gigazine.net/news/20261022-node-js-security-releases/) | 출처: Gigazine