Node.js에 내장된 Brotli 디코더에서 경계 밖 쓰기 취약점(CVE-2026-111497, Node2Shell)이 공개되었습니다. Node.js는 10월 21일 원격 코드 실행 가능성을 언급하며 전 지원 계열(22.x, 24.x, 26.x)에 패치를 배포하였습니다.
현재 NVD 분석은 진행 중이고 실제 공격 사례나 검증된 RCE PoC, 공개된 탐지 룰은 확인되지 않았습니다. 다만 Express 5, fetch() 등 일반적인 환경에 공격 경로가 존재하는 만큼 선제적인 버전 점검과 패치 적용을 권고합니다.