1. 개요
Node2Shell은 2026년 10월 21일에 공개된 Node.js 런타임의 치명적인 원격 코드 실행 취약점이다. CVE 취약점 식별 번호는 CVE-2026-111497이며, 생태계 전반으로 파장이 커지면서 HTTP2Shell로도 불린다.2. 발단
2월에 OpenAI 보안팀이 최초 발견하였다. OpenAI Codex 보안팀이 AI 에이전트를 활용한 안전성 테스트 중 구글의 데이터 압축 라이브러리인 '브로틀리(Brotli)' 디코더에서 치명적인 메모리 결함(Out-of-bounds write)을 발견해 제보했다.그런데 이걸 개발 브랜치에만 두고 당시에는 이것이 서버를 장악할 수 있는 원격 코드 실행(RCE)으로 이어질 수 있다는 심각성이 크게 부각되지 않은 채 수개월간 방치되었다는 것이 문제의 시작이였다. [1]
[1] https://news.hada.io/topic?id=35927