CVE 데이터베이스CVE-2026-111497

Updated 2026-11-06English Advisory →

CVE-2026-1114979.8/CRITICALCISA KEV 등재CWE-252CWE-787

Google Brotli 디코더 원격 코드 실행(RCE) 및 메모리 손상 취약점 보안 권고 (CVE-2026-111497)

영향받는 벤더 / 생태계

Google, Node.js, Open Source Community

대상 컴포넌트 / 패키지

Brotli, Node.js

권고문 발행일

2026-10-22

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Google Brotli 라이브러리 버전 1.0.3 ~ 1.2.0을 사용하는 모든 웹 서버, 브라우저, Node.js 및 백엔드 애플리케이션

파급 효과

인증되지 않은 원격 공격자가 조작된 압축 스트림을 전송하여 시스템 메모리를 오염시키고 임의 코드를 실행(RCE)하거나 서비스 거부(DoS) 유발 가능

권장 조치

사용 중인 Brotli 라이브러리 및 관련 종속 패키지를 최신 보안 패치 버전(1.0.10, 1.1.1, 1.2.1 이상)으로 즉시 업데이트

영향받는 제품 및 버전 범위

Google Brotli 버전 1.0.3부터 1.2.0 사이의 모든 버전이 영향을 받습니다. 해당 라이브러리를 내장하고 있는 Node.js, Nginx(Brotli 모듈), Python/Go/Rust 등의 Brotli 바인딩 라이브러리도 모두 취약 범위에 포함됩니다.

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

가장 확실한 해결책은 취약점이 해결된 최신 버전으로 업데이트하는 것입니다.

1. 패키지 관리자를 통한 업데이트

사용 중인 환경에 따라 아래 명령어를 수행하십시오.

bash

# Node.js 환경 (종속성 확인 및 업데이트)
npm update brotli

# Linux 시스템 라이브러리 업데이트 (Ubuntu/Debian 예시)
sudo apt-get update && sudo apt-get install --only-upgrade libbrotli1

2. 소스 빌드 환경

Brotli를 직접 빌드하여 사용하는 경우, 공식 GitHub 저장소에서 최신 태그(v1.2.1 이상)를 체크아웃하여 재빌드하십시오.

3. 임시 완화 조치 (패치 불가 시)

패치가 즉시 어려운 경우, WAF(Web Application Firewall)에서 Content-Encoding: br 헤더를 포함한 요청을 일시적으로 차단하거나, 서버 설정에서 Brotli 압축 해제 기능을 비활성화하고 Gzip 등으로 대체하는 것을 검토하십시오.

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

CISA KEV 등재 및 높은 EPSS 점수를 고려할 때, 본 취약점은 최우선 순위로 패치되어야 합니다. 모든 개발 및 운영 환경에서 Brotli 라이브러리 버전을 전수 조사하고 즉시 업데이트를 완료하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

본 취약점(CVE-2026-111497)은 Google의 오픈소스 압축 라이브러리인 Brotli의 디코딩 로직(c/dec/decode.c)에서 발생하는 힙 기반 버퍼 오버플로우(Heap-based Buffer Overflow) 취약점입니다. 공격자가 특수하게 제작된 Brotli 압축 데이터 스트림을 서버에 전송할 경우, 디코더가 데이터 크기를 검증하는 과정에서 경계값 확인 미흡(CWE-787)으로 인해 인접한 메모리 영역을 덮어쓰게 됩니다. 이 과정에서 디코더 상태 정보가 오염되어 민감 정보가 유출되거나, 최종적으로 공격자가 제어하는 명령어가 실행될 수 있는 심각한 위험이 존재합니다. 특히 CISA KEV에 등재된 만큼 실제 공격에 악용될 가능성이 매우 높으며, EPSS 점수가 0.94에 달해 즉각적인 대응이 요구됩니다.

공식 보안 권고문 및 참조 링크

NVD Original English Description

A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.

https://github.com/andybalholm/brotli/releases/tag/v1.2.7

Source: cve-coordination@google.com · Release Notes

https://nodejs.org/en/blog/vulnerability/october-2026-security-releases#nodejs-brotli-decoder-out-of-bounds-write-permits-remote-code-execution-cve-2026-111497---high

Source: cve-coordination@google.com · Third Party Advisory

http://www.openwall.com/lists/oss-security/2026/10/23/25

Source: af854a3a-2127-422b-91ae-364da2661108 · Mailing List, Third Party Advisory

http://www.openwall.com/lists/oss-security/2026/10/24/6

Source: af854a3a-2127-422b-91ae-364da2661108 · Mailing List, Third Party Advisory

http://www.openwall.com/lists/oss-security/2026/10/26/12

Source: af854a3a-2127-422b-91ae-364da2661108 · Mailing List, Third Party Advisory

http://www.openwall.com/lists/oss-security/2026/10/26/13

Source: af854a3a-2127-422b-91ae-364da2661108 · Mailing List, Third Party Advisory

SecOps Advisory Dispatch & RSS Feed

일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독

보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.

Slack / Teams / RSS 리더 연동: