데일리 브리핑
Node2Shell 원격 코드 실행(RCE), 패치되지 않은 PHP 취약점 및 Python Pillow 취약점
오늘 브리핑에서는 Node.js 및 Python Pillow의 원격 코드 실행 위험, 패치가 적용되지 않은 PHP 구성 권고 사항, 그리고 우크라이나에서 사용된 메시 네트워크 백도어에 대해 다룹니다.
소식 5건2분 소요
오늘날 웹 애플리케이션 런타임과 주요 종속성들이 주목받고 있으며, Node.js, PHP, 그리고 Python의 Pillow 이미지 라이브러리에서 새로운 코드 실행 취약점이 발견되고 있습니다. 웹 플랫폼을 운영하는 조직은 이러한 핵심 서버 구성 요소를 감사하고 신속하게 업데이트를 적용해야 합니다.
동시에, 표적 사이버 공격은 지속성 전술이 진화하고 있음을 보여줍니다. 샌드웜(Sandworm)과 UAC-0099는 데이터 삭제 도구와 함께 새로운 메시 네트워크 백도어를 사용했는데, 이는 중요 인프라 내의 비전통적인 명령 및 제어 채널을 감시해야 할 필요성을 강조합니다.
파이썬의 인기 있는 베개 이미지 라이브러리에 치명적인 결함이 있어 조작된 이미지를 통해 코드 실행이 가능합니다.
Python의 Pillow 라이브러리에서 발견된 심각한 취약점(CVE-2026-112900)으로 인해 EPS 이미지 처리 시 원격 코드 실행이 가능했습니다. Pillow는 파일 이름을 검증 없이 Ghostscript에 전달하므로, 조작된 파일 이름을 이용한 명령 주입 공격이 가능했습니다. 이 결함은 Pillow 버전 13.0.0에서 수정되었습니다.
- 중요한 이유
- Pillow는 웹 애플리케이션, 이미지 처리 워크플로 및 머신 러닝 파이프라인 전반에 걸쳐 광범위하게 사용되므로 신뢰할 수 없는 이미지를 처리하는 시스템이 명령 실행에 노출될 수 있습니다.
러시아와 연계된 해커들이 새로운 메시 네트워크 백도어를 이용해 우크라이나를 공격했습니다.
러시아 정부의 지원을 받는 위협 그룹 샌드웜(Sandworm)이 UAC-0099와 협력하여 우크라이나 물류 회사를 대상으로 파괴적인 공격을 감행했습니다. UAC-0099는 Yggdrasil 네트워크를 통해 통신하며 MATCHWOK 백도어와 새로운 메시 네트워크 백도어인 MythicRatatoskr를 배포한 후, 샌드웜에게 접근 권한을 넘겨 데이터 삭제 작업을 실행하도록 했습니다.
- 중요한 이유
- 공격자들은 파괴적인 데이터 삭제 공격을 실행하기 전에 탐지를 피하기 위해 Yggdrasil과 같은 메시 네트워크 기반의 새로운 C2 인프라를 활용하고 있습니다.
연구원들이 조작된 Brotli 데이터를 사용하여 Node.js 빌드에서 Node2Shell RCE 취약점을 시연했습니다.
연구원들은 공식 Node.js 24.22.0 Linux arm64 빌드를 대상으로 Node2Shell 원격 코드 실행 취약점을 시연했습니다. 이 취약점은 Brotli 디코더 결함(CVE-2026-111497)을 악용하여 악성 압축 데이터를 전달해 임의 코드를 실행하는 방식입니다. Node.js 24.22.1을 포함한 수정된 버전에서는 해당 페이로드가 차단됩니다.
- 중요한 이유
- 취약한 Node.js 빌드를 사용하여 신뢰할 수 없는 Brotli 압축 데이터를 디코딩하는 애플리케이션은 원격 코드 실행에 취약합니다.
PHP2Shell 긴급 패치 배포 이틀 만에 또 다른 패치되지 않은 원격 코드 실행(RCE) 취약점 발생 경고
PHP는 session.serialize_handler가 php_binary 또는 php_serialize로 설정된 환경에 영향을 미치는 패치되지 않은 원격 코드 실행(RCE) 취약점인 CVE-2026-115560에 대해 경고했습니다. 이는 CVE-2026-109618 및 CVE-2026-109619에 대한 긴급 패치에 이은 것입니다. PHP는 긴급 패치를 제공하지 않으며 세션 업로드 진행률 표시를 비활성화할 것을 권장합니다.
- 중요한 이유
- 특정 PHP 세션 구성 옵션을 사용하는 웹 애플리케이션은 다음 정기 업데이트가 있을 때까지 원격 코드 실행에 취약한 상태로 남아 있습니다.
HPE는 심각도가 가장 높은 8개의 원격 코드 실행(RCE) 및 인증 우회 AOS 취약점에 대한 패치를 적용했습니다.
BleepingComputer의 검증 페이지에서 Cloudflare 보안 문제가 발생하여 HPE의 AOS 결함 패치 릴리스 관련 기사 세부 정보를 가져올 수 없었습니다.
핵심 요약
- Brotli 디코더 취약점(CVE-2026-111497)을 통한 원격 코드 실행을 방지하려면 Node.js를 버전 24.22.1로 업데이트하십시오.
- 러시아와 연계된 해커들이 데이터 삭제 공격에 앞서 Yggdrasil 메시 네트워크를 통해 통신하면서 MythicRatatoskr 백도어를 사용했습니다.