Brotli 압축 해제 메모리 손상 취약점과 업데이트 안내

무슨 일이 생겼나요

KISA 보호나라는 2026-10-26 Google의 Brotli 업데이트를 권고했어요. Brotli는 데이터를 압축하거나 압축을 푸는 데 쓰는 소프트웨어예요. 이번 문제는 압축을 푸는 과정에서 발생해요. 상자에서 물건을 꺼내 정해진 칸에 담아야 하는데, 칸 밖까지 물건이 밀려나 옆 칸의 내용까지 흐트러뜨리는 상황에 비유할 수 있어요. 프로그램에서도 이처럼 정해진 메모리 공간 밖에 데이터가 기록되면 주변 정보가 손상될 수 있어요.

취약점 식별 번호는 CVE-2026-111497이에요. 공격자가 문제를 일으키도록 만든 Brotli 압축 데이터를 취약한 프로그램이 풀면, 압축 해제에 사용하는 메모리가 손상될 수 있어요. 그 결과 민감한 메모리 내용이 노출되거나 서비스가 중단될 수 있고, 경우에 따라 공격자가 원하는 코드를 실행할 가능성도 있어요. 코드 실행은 가능한 영향이며, 모든 공격에서 같은 결과가 발생한다는 뜻은 아니에요.

이 취약점은 실제 공격에 쓰이고 있음(CISA KEV 등재)이 확인됐어요. CISA KEV는 실제 악용이 확인된 취약점을 모은 목록이며, 등재일은 2026-10-27이에요. 여기에 기록된 조치기한은 2026-11-10이에요. 랜섬웨어 사용 여부는 Unknown으로 표시돼 있어요. 이는 랜섬웨어에 사용되지 않았다는 확인이 아니라, 사용 여부가 확인되지 않았다는 의미예요.

기술적으로는 (초급 개발자용)

기술적으로는 Brotli 디코더, 즉 압축된 데이터를 원래 형태로 복원하는 부분의 버퍼 오버플로 문제예요. 버퍼는 데이터를 잠시 담아 두는 메모리 공간이고, 오버플로는 그 공간의 경계를 넘겨 데이터를 기록하는 상황을 말해요. 이번 취약점은 압축 해제 중 경계를 벗어난 기록으로 인접한 디코더 상태 메모리를 손상시킬 수 있어요. 디코더 상태는 압축 해제를 계속 진행하는 데 필요한 내부 정보예요.

취약점의 약점 분류에는 CWE-252와 CWE-787이 포함돼 있어요. CWE는 소프트웨어 약점의 유형을 구분하는 분류 체계예요. CWE-252는 함수가 돌려준 결과를 확인하지 않는 '반환값 확인 누락', CWE-787은 허용된 메모리 범위 밖에 데이터를 쓰는 '범위 밖 쓰기'를 뜻해요. 이번 문제를 이해할 때는 압축 해제 과정의 처리 결과 확인과 메모리 쓰기 경계가 관련된 약점이라는 점이 핵심이에요.

공격에는 문제를 일으키도록 만든 Brotli 압축 데이터가 사용돼요. 원격 공격자는 사전 인증 없이 공격을 시도할 수 있으며, 취약한 디코더가 그 데이터를 처리하는 것이 중요한 조건이에요. 따라서 Brotli가 설치돼 있는지와 함께, 외부에서 들어오는 압축 데이터를 실제로 해제하는 경로가 있는지 살펴봐야 해요. 특정 운영체제에만 한정된 문제도 아니에요.

NVD는 2026-10-22 이 취약점을 게시했고, CVSS 버전 4.0 기준 점수는 9.2, 심각도는 CRITICAL로 표시했어요. CVSS는 취약점의 기술적 심각도를 평가하는 기준이에요. 이 점수는 메모리 노출, 서비스 중단, 코드 실행 가능성을 고려해 업데이트 우선순위를 높게 잡을 근거가 돼요. 다만 개별 서비스의 실제 노출 정도는 취약한 Brotli 사용 여부와 공격 데이터가 처리되는 경로를 함께 확인해야 판단할 수 있어요.

누가 영향을 받나요

일반 사용자

일반 사용자는 Brotli를 별도로 설치했다는 기억이 없어도 사용하는 프로그램 안에 포함돼 있을 수 있어요. 취약한 Brotli를 포함한 프로그램이 공격자가 만든 압축 데이터를 처리하면, 프로그램이 멈추거나 메모리 정보가 노출되는 등의 영향을 받을 수 있어요. 다만 사용하는 프로그램이 Brotli를 포함하는지, 포함된 버전이 무엇인지는 해당 프로그램의 제조사 공지로 확인해야 해요.

사용 중인 프로그램에 관련 업데이트가 안내됐다면 제조사 공지의 업데이트 절차를 따르세요. Brotli라는 이름이 보이지 않는다는 이유만으로 영향이 없다고 판단하기는 어려워요. 반대로 이 권고만으로 사용 중인 모든 프로그램이 영향을 받는다고 단정할 수도 없어요.

개발자

개발자는 프로젝트에서 직접 사용하는 Brotli뿐 아니라, 다른 구성요소에 포함돼 함께 배포되는 Brotli도 확인해야 해요. 직접 추가한 라이브러리 목록만 보면 실행 파일 내부에 포함된 취약한 구현을 놓칠 수 있어요. 외부 입력이 압축 해제 기능에 전달되는 부분을 찾아 실제로 어떤 Brotli 버전이 동작하는지 연결해 확인하세요.

영향 범위와 해결 버전은 계열별로 구분돼 있어요. 1.0.3 이상 1.0.10 미만은 1.0.10, 1.1.0 이상 1.1.1 미만은 1.1.1, 1.2.0 이상 1.2.1 미만은 1.2.1이 해결 버전이에요. 개발 환경의 라이브러리만 바꾼 뒤 작업을 끝내지 말고, 실제 배포물에 포함된 라이브러리나 실행 파일에도 변경이 반영됐는지 확인해야 해요.

서버·장비 담당자

서버·장비 담당자는 외부에서 받은 Brotli 압축 데이터를 해제하는 서비스와 그 서비스가 사용하는 라이브러리·실행 파일을 확인해야 해요. 공격자가 인증 없이 공격을 시도할 수 있으므로, 압축 데이터가 로그인 전에 처리되는 경로도 점검 대상이에요. 서비스 이름만 확인하기보다 실행 중인 구성요소가 어떤 Brotli 버전을 사용하는지 파악하는 것이 중요해요.

운영 환경에서는 업데이트 대상으로 식별한 파일과 실제 실행 중인 파일이 일치하는지 확인하세요. 파일 교체 뒤 필요한 재시작이나 재배포 여부는 제조사 공지의 업데이트 절차를 따르세요. CISA KEV에 등재된 취약점인 만큼, 외부 입력을 처리하는 취약한 구성요소부터 업데이트 순서를 정하는 것이 적절해요.

지금 할 일

1. 사용 중인 프로그램, 서비스, 배포물에서 Brotli 라이브러리나 실행 파일을 사용하는지 확인하세요. 직접 설치한 항목과 다른 구성요소에 포함된 항목을 함께 살펴보세요.
2. 확인한 버전을 영향 범위와 대조하세요. 1.0.3 이상 1.0.10 미만, 1.1.0 이상 1.1.1 미만, 1.2.0 이상 1.2.1 미만이 이번 권고의 업데이트 대상이에요.
3. 외부에서 들어온 Brotli 압축 데이터를 어디에서 해제하는지 확인하세요. 취약한 버전이 해당 처리 경로에 연결돼 있다면 업데이트 우선순위를 높이세요.
4. 사용 중인 계열에 맞춰 1.0.10, 1.1.1 또는 1.2.1로 업데이트하세요. 다른 프로그램 안에 포함된 Brotli는 해당 프로그램 제조사 공지의 업데이트 절차를 따르세요.
5. 업데이트한 구성요소가 실제 배포물과 실행 환경에 반영됐는지 확인하세요. 필요한 재시작이나 재배포도 제조사 공지의 업데이트 절차를 따르세요.
6. 업데이트 후 Brotli 압축 해제 기능과 관련 서비스가 정상 동작하는지 확인하고, 적용한 버전과 확인 결과를 기록하세요.

pip show brotli

업데이트 후 확인

• 운영 중인 Brotli가 사용하던 계열의 해결 버전인 1.0.10, 1.1.1 또는 1.2.1로 반영됐는지 확인하세요. 설치 목록뿐 아니라 실제 서비스가 사용하는 라이브러리나 실행 파일도 확인해야 해요.
• 배포물에 Brotli가 포함돼 있다면 해당 배포물에도 업데이트가 반영됐는지 확인하세요. 개발 환경에서 확인한 결과만으로 운영 환경까지 업데이트됐다고 판단하지 마세요.
• 정상적인 Brotli 압축 데이터를 처리했을 때 압축 해제가 완료되고 관련 서비스가 정상 동작하는지 확인하세요. 압축 해제 오류나 서비스 중단이 새로 발생하지 않는지도 살펴보세요.
• 파이썬 패키지 확인 명령은 그 명령이 조회하는 환경의 brotli 패키지 확인에 사용하세요. 그 결과만으로 다른 환경이나 별도 실행 파일에 포함된 Brotli까지 확인됐다고 볼 수는 없어요.

해외 동향 (NVD·CISA KEV)

실제 공격에 쓰이고 있음(CISA KEV 등재) — 미국 사이버보안·기반시설보안청(CISA)이 실제 악용을 확인한 취약점 목록에 CVE-2026-111497(2026.10.27 등재)이 올라 있어요.

제조사 공식 공지

• https://github.com/google/brotli/releases
• https://www.php.net/archive/2026.php#2026-10-26-1

자주 묻는 질문

Q. Brotli 버전이 1.1.0이면 어떤 해결 버전을 적용해야 하나요?

1.1.0은 1.1.0 이상 1.1.1 미만 범위에 해당하므로 해결 버전은 1.1.1이에요. 다른 프로그램에 포함된 Brotli라면 해당 프로그램 제조사 공지의 업데이트 절차를 따르세요. 계열별 해결 버전이 구분돼 있으므로 버전 번호를 대조해 적용해야 해요.

Q. CISA KEV에 등재됐다는 것은 제 서버도 공격받았다는 뜻인가요?

CVE-2026-111497이 실제 공격에 쓰이고 있다는 뜻이에요. 등재일은 2026-10-27이에요. 이 사실만으로 개별 서버의 침해 여부가 확인되는 것은 아니에요. 해당 서버가 취약한 Brotli를 사용하는지와 공격자가 보낸 압축 데이터를 처리할 수 있는지부터 확인해야 해요.

Q. 버전 확인 명령에서 brotli 패키지가 보이지 않으면 영향이 없나요?

그렇게 단정할 수는 없어요. 해당 명령은 파이썬 brotli 패키지를 확인하는 용도예요. 다른 프로그램이나 실행 파일 안에 포함된 Brotli는 별도로 확인해야 해요. 사용하는 프로그램의 제조사 공지와 배포물의 구성 정보를 통해 포함 여부와 버전을 확인하세요.