"보안 업데이트 권고"라는 뉴스를 봐도 우리 홈페이지와 상관있는지 알기 어렵죠. 이번 주 공지에 나온 Next.js는 홈페이지를 만드는 도구 이름이라 더 헷갈립니다.
결론부터 말씀드리면, Next.js 보안 업데이트는 우리 홈페이지가 Next.js로 만들어졌을 때만 해당됩니다. 이 글에서는 해당 여부를 확인하는 법과 업체에 보낼 질문까지 정리했습니다.
Next.js 보안 업데이트, 무슨 일이 있었나요?
Next.js 개발사가 10월 14일 긴급 업데이트를 내고, 바로 올리라고 안내했습니다.
Next.js는 홈페이지 화면과 기능을 만드는 개발 도구입니다. 건물로 치면 벽돌과 철근 같은 기본 자재예요. 자재에 금이 간 게 발견돼 제조사가 보강재를 내놓은 상황이라고 보면 됩니다.
Next.js 공식 블로그에 따르면 이번에 고친 문제는 세 가지입니다.
| 문제 | 위험 등급 | 쉬운 설명 |
|---|---|---|
| 캐시 기능의 원격 코드 실행 | 심각 | 특정 기능을 쓰는 사이트에서 남이 서버 명령을 실행할 수 있음 |
| 이미지 최적화의 원격 코드 실행 | 심각 | SVG 그림 처리 과정의 허점으로 같은 위험 발생 |
| 서버 액션의 서비스 거부 | 높음 | 일부러 무거운 요청을 보내 사이트를 멈추게 할 수 있음 |
처음 보는 말이 많죠. 아래 표로 정리했습니다.
알아두면 좋은 용어
| 용어 | 쉬운 뜻 | 비유·예시 |
|---|---|---|
| 원격 코드 실행 | 남이 우리 서버에서 마음대로 명령을 실행하는 것 | 가게 열쇠를 남이 복사해 간 상태 |
| 서비스 거부 | 무거운 요청을 쏟아부어 사이트를 멈추게 하는 공격 | 가짜 손님이 계산대를 막는 것 |
| SVG | 선과 도형으로 그린 그림 파일 형식 | 확대해도 깨지지 않는 로고 그림 |
| 캐시 | 자주 쓰는 내용을 미리 저장해 빨리 보여 주는 기능 | 미리 포장해 둔 인기 메뉴 |
| 서버 액션 | 버튼을 누르면 서버에서 바로 일을 처리하는 기능 | 주문 버튼 뒤의 주방 |
한 줄 정리: 홈페이지를 만드는 기본 자재에 허점이 발견돼, 제조사가 보강판을 내놓은 상황입니다.
KISA는 어떤 조치를 권고했나요?
10월 20일 보호나라 보안공지에서 15.5.28 또는 16.4.1 이상으로 올리라고 권고했습니다.
한국인터넷진흥원(KISA, 인터넷 보안을 맡는 정부 기관)이 보호나라 보안공지에 올렸습니다. 공지에 나온 버전 기준은 아래와 같아요.
| 사용 중인 버전 줄기 | 위험한 버전 | 올려야 할 버전 |
|---|---|---|
| 15 버전대 | 15.5.28 미만 | 15.5.28 이상 |
| 16 버전대 | 16.4.1 미만 | 16.4.1 이상 |
버전은 앱의 "업데이트 번호"와 같습니다. 휴대폰 앱도 숫자가 올라가면서 고쳐지듯, 이 숫자가 기준보다 낮으면 아직 안 고친 상태예요. 궁금한 점은 KISA 118 상담센터(국번 없이 118)로 물어볼 수 있습니다.
한 줄 정리: 버전 숫자가 15.5.28 또는 16.4.1보다 낮다면 업데이트가 필요합니다.
우리 홈페이지가 Next.js인지 어떻게 알 수 있나요?
가장 확실한 방법은 홈페이지를 만든 업체에 직접 물어보는 것입니다.
사장님이 화면만 보고 알아내기는 어렵습니다. 같은 리액트(화면을 만드는 인기 개발 도구) 계열이어도 Next.js를 쓰지 않는 경우가 많아요. 그래서 짐작하지 말고 확인하는 게 빠릅니다.
| 우리 홈페이지 상황 | 이번 공지 해당 여부 | 할 일 |
|---|---|---|
| 업체가 Next.js로 만들었다고 함 | 해당 | 버전 확인과 업데이트 요청 |
| 워드프레스·웹빌더로 만듦 | 해당 없음 | 각 서비스 업데이트는 따로 확인 |
| 무엇으로 만들었는지 모름 | 확인 필요 | 업체에 문의 |
| 업체와 연락이 끊김 | 확인 필요 | 다른 유지보수 업체에 점검 요청 |
예를 들어, 3년 전 외주로 만든 쇼핑몰을 운영하는 꽃집 사장님이라면 이렇게 해 보세요. 계약서나 납품 메일에서 업체 연락처를 찾습니다. 그다음 아래 질문을 그대로 보내면 됩니다.
한 줄 정리: 짐작하지 말고, 만든 업체에 "무엇으로 만들었는지" 한 번만 물어보세요.
업체에 보낼 질문은 어떻게 쓰나요?
아래 네 가지를 한 번에 보내면 답을 받기 쉽습니다.
- 우리 홈페이지가 Next.js로 만들어졌는지 묻습니다.
- 쓰고 있다면 지금 버전 번호를 알려 달라고 합니다.
- 15.5.28 또는 16.4.1 이상으로 언제 올릴 수 있는지 묻습니다.
- 업데이트 전에 백업(지금 상태를 복사해 두는 것)을 해 달라고 합니다.
업데이트 전 백업은 중요합니다. 수리 전에 사진을 찍어 두면 문제가 생겨도 원래대로 돌릴 수 있는 것과 같아요. 업데이트 뒤에는 문의 양식과 결제 화면이 잘 되는지 직접 눌러 보세요.
한 줄 정리: "사용 여부, 버전, 일정, 백업" 네 가지만 물으면 충분합니다.
그래서 우리 가게에는?
당장 할 일은 "확인 요청 한 통"이고, 직접 서버를 만질 필요는 없습니다.
이번 문제는 개발자가 고쳐야 하는 부분입니다. 사장님 역할은 업체가 제때 고치도록 확인하는 것이에요. 다만 그냥 넘기면 안 되는 이유가 있습니다. 해커들은 공지가 나온 직후 아직 안 고친 사이트를 찾아다니기 때문입니다.
| 사장님 상황 | 추천 행동 | 기한 |
|---|---|---|
| 유지보수 계약이 있음 | 업체에 업데이트 일정 확인 | 이번 주 안 |
| 유지보수 계약이 없음 | 건별 점검 요청 | 가능한 빨리 |
| 결제·회원 기능이 있음 | 업데이트 후 결제 테스트 | 업데이트 당일 |
유지보수 계약이 없다면 이번 기회에 맡길 곳을 정해 두세요. 유지보수 안내 페이지에서 잇다웹의 유지보수 범위를 볼 수 있습니다. 잇다웹 FAQ에는 리액트 또는 뷰로 화면을 만든다고 적혀 있어요. 어떤 도구를 쓰든 내 홈페이지의 정확한 구성은 담당 업체에 확인하는 게 가장 안전합니다.
한 줄 정리: 고치는 건 업체 몫, 확인하고 챙기는 건 사장님 몫입니다.
홈페이지 보안 업데이트 체크리스트
오늘 10분이면 할 수 있는 일부터 하세요.
- □ 홈페이지를 만든 업체 연락처를 찾아 두기
- □ Next.js 사용 여부와 버전을 묻는 메시지 보내기
- □ 업데이트 전 백업을 해 달라고 함께 요청하기
- □ 업데이트 후 문의 양식과 결제 화면을 직접 눌러 보기
- □ 관리자 계정 비밀번호를 최근에 바꿨는지 확인하기
- □ 유지보수 계약이 없다면 맡길 업체 한 곳 정해 두기
한 줄 정리: 연락처 찾기, 질문 보내기, 업데이트 후 확인하기 세 가지가 핵심입니다.
자주 묻는 질문
워드프레스 홈페이지도 이번 공지에 해당되나요?
아니요, 이번 공지는 Next.js만 대상입니다. 워드프레스는 다른 방식으로 만들어진 도구라 이번 버전 기준이 적용되지 않아요. 다만 워드프레스는 본체와 플러그인 업데이트가 따로 나옵니다. 한 달에 한 번은 관리 화면에서 업데이트 알림을 확인하세요.
업데이트하면 홈페이지 화면이 바뀌나요?
대부분은 바뀌지 않습니다. 이번 업데이트는 같은 버전 줄기 안에서 허점을 고치는 수리이기 때문이에요. 다만 오래된 기능과 부딪힐 수 있으니 백업 후 진행하는 게 좋습니다. 업데이트 뒤 주요 화면 3~4곳은 직접 열어 보세요.
홈페이지가 이미 공격받았는지 어떻게 아나요?
사장님 혼자 판단하기는 어렵습니다. 모르는 관리자 계정이 생겼거나, 처음 보는 페이지가 검색되면 의심 신호예요. 이런 신호가 하나라도 보이면 업체에 점검을 요청하세요. 피해가 의심되면 KISA 118 상담센터에 문의할 수 있습니다.
한 줄 정리: 내 홈페이지에 해당되는지부터 확인하면, 나머지는 순서대로 풀립니다.
홈페이지 보안 점검이나 유지보수를 맡길 곳이 필요하시면 무료 견적 상담에서 편하게 물어보세요.
사진: Unsplash (photo-1680992046626-418f7e910589, photo-1733412505442-36cfa59a4240, photo-1744868562210-fffb7fa882d9)