CVSS 10점 만점짜리 ‘역대급’ 취약점, 전 세계 웹사이트 비상
파이오링크와 티오리 등 국내 보안기업, 피해 확산 방지 위해 패치 및 무료 진단 서비스 배포

[보안뉴스 조재호 기자] 전 세계 웹사이트 개발에 가장 널리 쓰이는 ‘리액트’(React)와 ‘넥스트JS’(Next.js)에서 치명적인 보안 취약점이 발견된 가운데, 국내 보안기업들이 피해 확산을 방지하기 위해 긴급 패치한 버전을 발표하거나 무료 진단 서비스를 배포하고 있다.


[자료: gettyimagesbank]

지난달 29일 발견된 CVE-2025-55182는 리액트 서버 컴포넌트(RSC)가 데이터를 처리하는 과정에서 발생하는 ‘원격 코드 실행(RCE)’ 취약점이다. 해커가 조작된 데이터를 전송하면, 별도의 로그인이나 인증 절차 없이도 서버의 모든 권한을 탈취할 수 있어 위험도 점수 만점(CVSS 10.0)을 기록했다.

보안업계에서는 이를 ‘React2Shell’로 부르며, 넥스트JS(Next.js) 등 리액트 기반 프레임워크를 사용하는 전 세계 수많은 웹사이트가 즉각적인 해킹 위협에 노출됐다고 경고했다. 국내에서도 한국인터넷진흥원(KISA)이 지난 5일 ‘React 서버 컴포넌트 보안 업데이트 권고’를 통해 최신 패치 적용을 당부했다.

리액트(React)는 메타(Meta)가 개발한 자바스크립트 라이브러리로, 전 세계 웹 개발 시장을 장악하고 있는 웹 프레임워크 중 하나다. 글로벌 보안기업 위즈(Wiz)에 따르면 전체 클라우드 환경의 약 40% 이상이 취약한 넥스트JS 또는 리액트 인스턴스를 포함하고 있는 것으로 나타났다.

사태의 심각성이 커지자, 국내 보안기업들은 기업의 피해 확산을 방지하기 위해 긴급 대응에 나섰다. 파이오링크는 최근 공개된 React와 Next.js의 원격 코드 실행(RCE) 취약점에 대응하기 위해 자사 웹방화벽 ‘웹프론트-K(WEBFRONT-K)’용 전용 탐지·차단 시그니처를 긴급 배포했으며, 티오리는 해당 취약점의 영향을 받는지 간편하게 확인할 수 있는 진단 서비스 ‘ReactGuard’를 내놨다.

티오리가 배포한 무료 진단 서비스의 경우 사용자가 별도의 프로그램을 설치하거나 복잡한 코드를 분석할 필요 없이 웹사이트 주소(URL)만 입력하면 즉시 취약 여부를 진단 받을 수 있다.

티오리 관계자는 “이번 취약점은 공격 난이도가 매우 낮아 빠른 조치가 생명”이라며 “개발자나 보안 담당자가 아니더라도 누구나 쉽게 위험을 식별하고 대응할 수 있도록 돕기 위해 서비스를 공개했다”고 밝혔다.

[조재호 기자(sw@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>