코드 몰라도 하는 Node.js 보안 점검, 질문 다섯 가지

지금 무슨 일이 벌어졌나

2026년 10월 21일, Node.js가 보안 릴리스를 내놓고 지원 중인 모든 버전의 취약점 여러 건을 한꺼번에 고쳤다. 이 가운데 하나는 압축 데이터를 처리하는 부분의 결함으로, Node.js 측은 원격에서 코드를 실행할 수 있는 수준이라고 설명했다. 패치된 버전은 22.23.4, 24.22.1, 26.12.1이다. 공식 우회책은 없고, 상위 버전으로 올리는 것만이 해결책이다.

Node.js는 수많은 웹사이트와 앱, 요즘 부쩍 늘어난 AI 챗봇·자동화 서비스의 뒷단을 돌리는 기술이다. 서비스를 외주로 만들었거나 호스팅에 올려뒀다면 이 문제는 남의 일이 아니다. 운영자가 직접 고칠 수는 없어도, 누가 언제 고쳤는지는 반드시 챙겨야 한다.

코드를 몰라도 확인해야 하는 이유

Christina Morillo

서버에 어떤 버전이 깔려 있고 언제 패치하는지는 운영자가 직접 손대지 않아도 되는 영역이다. 하지만 우리 사이트가 안전한지 챙기는 일은 운영자의 몫이다. 원격 코드 실행 취약점은 최악의 경우 서버가 통째로 장악돼 고객 정보가 새거나 사이트가 변조될 수 있다. 특히 Node.js 20처럼 2026년 4월 지원이 끝난 버전은 패치 자체가 나오지 않아 더 위험하다. 쉽게 말해, 공격자가 멀리서 서버에 명령을 집어넣을 틈이 생겼는데 그 틈을 막는 방법이 버전 교체뿐이라는 뜻이다.

호스팅·개발사에 이렇게 물어라

전화나 메일로 다음을 그대로 물어보면 된다.

• 우리 서비스가 Node.js로 돌아가나요? 돈다면 정확히 몇 버전인가요?
• 그 버전이 10월 21일 보안 릴리스(22.23.4·24.22.1·26.12.1 이상)로 패치됐나요? 적용 날짜는요?
• 지원이 끝난 20 이하 버전은 아닌가요? 그렇다면 업그레이드 계획은 언제인가요?
• 패치 뒤 서비스가 정상 동작하는지 확인했나요? 문제가 생기면 되돌릴 방법은 있나요?
• 앞으로 보안 릴리스가 나오면 며칠 안에 적용하나요?

버전별로 지금 해야 할 일은 아래와 같다.

쓰는 버전	상태	해야 할 일
20 이하	지원 종료·패치 없음	상위 LTS로 업그레이드
22	유지보수(2027년 4월까지)	22.23.4 이상으로 패치
24	유지보수(2028년 4월까지)	24.22.1 이상으로 패치
26	LTS(2029년 4월까지)	26.12.1 이상으로 패치

답이 모호할 때, 이렇게 되묻는다

중요한 건 안전하다는 말이 아니라 버전 숫자와 패치 날짜다. 다음 답이 오면 한 번 더 확인하자.

• "최신 버전이에요": 숫자를 받아라. 22.23.4·24.22.1·26.12.1 이상인지 문서로 확인한다.
• "문제없어요": 언제 패치했는지 날짜와 근거(배포 로그나 릴리스 노트)를 요청한다.
• "우회 설정해뒀어요": 이번 건은 공식 우회책이 없다. 결국 버전을 올렸는지가 핵심이다.
• "나중에 할게요": 원격 코드 실행 등급은 미룰 사안이 아니다. 지원 종료 버전이면 더 급하다.

외주 개발사가 유지보수 계약 밖이라고 하면, 서버 관리 책임이 호스팅·클라우드·개발사 중 누구에게 있는지 계약서로 분명히 해둬야 한다. 버전 숫자와 패치 날짜 두 가지를 문서로 받지 못했다면 아직 조치되지 않았다고 보는 편이 안전하다. 공식 정보는 nodejs.org 보안 공지에서 직접 확인할 수 있다.

출처

1. Node.js October 2026 Security Releases (Konfirmity Advisory)
2. Node.js 지원 종료(EOL) 일정 (endoflife.date)