AI 기반 공격 가속화와 노드제이에스 보안 위기
프로그래밍 언어인 '러스트(Rust)'에 이어 소프트웨어 실행 환경인 '노드제이에스(Node.js)'에서도 원격 코드 실행(RCE)이 가능한 취약점이 잇따라 발견되며 보안 업계에 경고등이 켜졌다. 특히 인공지능(AI)이 보안 결함을 찾아내는 데 그치지 않고 실제 공격에 쓰일 코드를 생성하는 데까지 활용되면서, 취약점 관리와 신속한 대응 체계 구축이 시급한 과제로 부상했다. AI를 이용한 취약점 탐지와 공격 코드 시험 정황이 잇따라 보고되는 가운데, 관련 보안 업데이트가 진행 중이지만 오픈소스의 유지·보수를 위한 인력 확보는 여전히 어려운 실정이다.
최근 공개된 CVE-2026-109618 및 CVE-2026-109619 취약점은 공통 취약점 평가 시스템(CVSS) 4.0 기준으로 각각 9.2점을 기록하며 '치명적(Critical)' 등급으로 분류됐다. 이 결함들은 취약한 서버에서 별도의 인증 절차 없이도 공격자가 임의의 코드를 실행할 수 있게 만들어, 악성 파일 설치나 정보 탈취 등의 2차 피해로 이어질 위험이 크다. 이에 과학기술정보통신부와 한국인터넷진흥원(KISA)은 민간 분야 사이버위기 경보를 '주의' 단계로 격상하고, 이상 접속 기록 점검과 보안 업데이트 적용을 강력히 권고했다. 개인정보보호위원회 또한 데이터베이스 접근 통제와 패치 적용을 당부했다.
취약점 발견부터 패치까지의 지연과 공격 징후
이번에 보고된 취약점은 구글이 개발한 데이터 압축 기술인 '브로틀리(Brotli)' 압축 해제 모듈의 결함에서 비롯되었다. 노드제이에스 측은 지난 21일 해당 문제에 대한 보안 업데이트를 포함해 22.23.4, 24.22.1, 26.12.1 버전을 배포하며 이용자들의 즉각적인 업데이트를 요청했다. 그러나 이번 취약점은 초기 징후가 포착된 이후 실제 수정에 이르기까지 상당한 시간이 소요된 것으로 나타났다. 개발팀은 2024년 외부 보안 감사 과정에서 메모리 부족(OOM) 관련 취약점 징후를 처음 발견했으나, 구체적인 공격 경로 확인과 수정 방안에 대한 내부 이견 등으로 인해 작업이 수개월간 중단과 재개를 반복하며 지연되었다.
문제는 2026년 8월 사이버보안 업체인 칼리프(Kaliph)가 이 취약점을 공식 보고하면서 수면 위로 드러났다. 노드재단은 8월 11일부터 해당 문제 해결을 최우선 과제로 설정하고 대응에 나섰다. 더욱 우려스러운 점은 취약점이 공개되기도 전에 공격 시도가 포착되었다는 사실이다. 아마존은 취약점 공개 나흘 전인 지난 17일 허니팟 네트워크를 통해 공격 시도를 확인했으며, 클라우드플레어 역시 공개 전부터 공격을 관측하다 공개 직후 시도가 급증했다고 밝혔다. 사이퍼마(Cyfirma)는 AI를 활용해 공격 코드를 생성하고 우선순위를 정해 시험한 정황까지 포착했다. 다만 실제 운영 서버에서의 성공 여부는 확인되지 않았다.
오픈소스 유지보수 인력 부족과 제도적 과제
지난 23일에는 기존 패치로 해결되지 않는 CVE-2026-109620 취약점도 추가로 공개되었다. 이는 특정 세션 처리 설정 조합에서 발생하는 문제로, 패치 전까지는 파일 업로드 추적 기능을 끄고 프로세스를 재시작해야 한다. 이러한 상황은 오픈소스 생태계의 고질적인 인력 부족 문제를 드러낸다. 로이터통신에 따르면 노드재단은 상임이사 1명과 14명의 시간제 계약직으로 운영되며 기부금에 의존하고 있다. 코드 변경 제안은 1년 전보다 2배 늘었지만, 이를 검토할 기여자 수는 제자리걸음이라 전문성 확보에 한계가 있는 상태다.
전문가들은 기술의 발전 속도에 맞춘 인프라 구축을 강조한다. 임종인 고려대학교 정보보호대학원 명예교수는 AI가 공격 코드(익스플로잇)까지 빠르게 생성하며 해킹의 대중화를 불러오고 있다고 지적하며, 패치 전 대응 시간을 줄이기 위한 능동적 방어의 중요성을 역설했다. 박춘식 아주대학교 사이버보호학과 교수 또한 오픈소스의 무료 이용 이면에는 유지보수를 위한 막대한 비용이 발생한다는 점을 언급하며, 영세·중소기업의 보안 투자 여력을 돕기 위한 정부 차원의 지원과 산업 전반의 투자 확대가 병행되어야 한다고 조언했다.