---
title: "닷넷 보안 결함에 마이크로소프트 긴급 패치 배포"
author: "VibeTimes"
published: "2026-10-27T00:42:18.350Z"
section: "technology"
tags: ["마이크로소프트", "닷넷", "긴급보안패치", "Brotli", "버퍼오버플", "취약점", "Broccoli2Shell", "Imperva"]
language: "ko"
url: "https://vibetimes.co.kr/news/cmvpyj8nrqdp8jxq9x6s9bpjp"
---

# 닷넷 보안 결함에 마이크로소프트 긴급 패치 배포

마이크로소프트가 닷넷(.NET)용 긴급 보안 패치를 정기 일정 밖에 배포했다. 구글이 개발한 Brotli 압축 해제 기술의 '버퍼 오버플로'(프로그램이 정해진 메모리 공간을 넘어 데이터를 쓰는 결함) 취약점(CVE-2026-111497)이 대상이다.

마이크로소프트는 현지시각 10월 25일 일요일에 닷넷 8·9·10과 닷넷 11 릴리스 후보(RC, 정식 출시 전 미리보기 버전) 3용 업데이트 4종을 배포하고 가능한 한 빨리 적용할 것을 권고했다.

이 결함은 Imperva 레드팀이 발견했으며 'Broccoli2Shell'이라는 이름으로 불리고, Node2Shell, HTTP2Shell이라는 별칭으로도 추적된다. Brotli 디코더에서 발생하는 경계 밖 쓰기(정해진 메모리 범위를 넘어 데이터를 쓰는 문제)가 원인이다. 마이크로소프트는 취약점 설명에서 인증받지 않은 공격자가 프로세스 메모리를 읽거나 손상시킬 수 있다고 밝혔다. 그 결과 정보 노출, 서비스 거부(DoS), 권한 상승으로 이어질 수 있다. 공식 CVE 데이터베이스 항목에는 조작된 Brotli 압축 스트림을 이용해 임의 코드를 실행할 가능성도 적혀 있다. 이 결함의 CVSS(공통 취약점 평가 체계) 점수는 9.2로 심각도가 최고 수준이다. 마이크로소프트 보안대응센터는 취약점이 이미 공개됐고 자체 분석상 심각 등급이며 악용 증거는 아직 없다고 확인했으며, 악용 가능성 평가에서는 '가능성 높음'으로 분류했다. Broccoli2Shell의 개념증명(PoC) 공격 코드는 이미 깃허브에 올라와 있다.

영향 범위는 Brotli 압축 데이터를 처리하는 경로를 쓰는 경우로 제한된다. 마이크로소프트는 ASP.NET Core 요청 압축 해제, HttpClient 자동 응답 압축 해제, System.IO.Compression의 Brotli API 가운데 하나를 쓰는 애플리케이션이 해당된다고 밝혔다. 이런 기능은 기본 설정에서는 꺼져 있어, 개발자가 직접 옵션을 켠 환경이 위험하다. .NET Framework는 영향을 받지 않으며, 이 취약점은 모든 운영체제의 .NET 8·9·10·11에 영향을 준다.

다만 시스템의 Brotli 라이브러리만 갱신해서는, 자체적으로 Brotli 사본을 내장한 애플리케이션의 위험이 해소되지 않을 수 있다는 경고도 나왔다. 개발자는 .NET 업데이트를 적용하는 것과 함께 앱 안의 Brotli 구성도 함께 점검해야 한다.

이번 업데이트 적용 방식은 배포 형태에 따라 갈린다.

마이크로소프트 안내에 따르면 프레임워크 종속 애플리케이션은 업데이트된 런타임을 설치한 뒤 재시작하면 되지만, 자체 포함 애플리케이션은 다시 빌드해 재배포해야 한다. 컨테이너 역시 업데이트된 이미지로 다시 만들어야 한다. 설치된 런타임은 dotnet --list-runtimes 명령으로 확인할 수 있다.