Google Brotli 디코더 메모리 손상 취약점

압축 해제 부품이 공격 데이터에 뚫려 서버나 앱이 멈추거나 해킹될 수 있습니다!

요약

Google Brotli 디코더의 메모리 쓰기 오류로 원격의 인증되지 않은 공격자가 악성 압축 데이터를 보내 메모리 내용을 엿보거나 서비스를 멈추거나 코드를 실행할 수 있습니다. 1.0.3부터 1.2.0까지 모든 플랫폼이 해당하며, WordPress도 핑백 요청으로 PHP 워커가 멈출 수 있습니다.

해당 조건

외부에서 받은 Brotli 압축 데이터를 해제하는 프로그램

대처법

Brotli 1.0.10, 1.1.1 또는 1.2.1로 업데이트하세요. 배포판 패키지를 쓰는 경우 해당 배포판의 보안 업데이트를 설치하세요. 당장 못 하면 WordPress의 xmlrpc.php 핑백 경로를 막으세요.

내 제품에 맞는 버전 이상으로 업데이트하세요:

Google Brotli 1.0.x 1.0.10 이상
Google Brotli 1.1.x 1.1.1 이상
Google Brotli 1.2.x 1.2.1 이상

대상 제품과 운영체제

Windows
macOS
Linux
Android
iOS
Google Brotli

CVE 번호

CVE-2026-111497 (새 탭에서 열림)

원문 링크

보안 공지: github.com (새 탭에서 열림)
분석 글: hatamoto.dev (새 탭에서 열림) · ellio.tech (새 탭에서 열림)
CVE 기록: cve.org (새 탭에서 열림)
토론: Brotli CVE-2026-111497, 기본 WordPress에 핑백으로 도달 (새 탭에서 열림)

시각

처음 게시 2026-10-22 22:35

처음 확인 2026-11-09 21:16