보안 뉴스

Node.js 보안 업데이트 전 체크리스트 5가지 (10월 권고)

잇다웹

2026년 10월 24일 · 읽는 시간 7분

이 글의 요약

Node.js가 10월 21일 보안 구멍 10개를 고친 새 버전을 냈습니다(KISA 10월 23일 권고).
22·24·26 버전은 각각 22.23.4, 24.22.1, 26.12.1 이상으로 올리면 됩니다.
20 이하 버전은 지원이 끝나 고쳐지지 않으니, 지원되는 버전으로 옮겨야 합니다.
사장님은 직접 고치지 않아도 되고, 업체에 질문 3개만 보내면 됩니다.

Node.js 보안 업데이트 소식을 듣고 "우리 홈페이지도 해당되나?" 궁금하셨나요? 결론부터 말하면, 홈페이지가 Node.js로 돌아간다면 이번 주 안에 업체에 확인해야 합니다. 직접 서버를 만질 필요는 없습니다. 이 글에서는 무슨 일이 있었는지, 우리 가게가 해당되는지, 업체에 무엇을 물어보면 되는지 차례로 정리했습니다.

Node.js 보안 업데이트, 이번에 무슨 일이 있었나요?

Node.js 개발팀이 보안 구멍 10개를 막은 새 버전을 내놓았습니다.

Node.js(노드제이에스)는 홈페이지 뒤에서 주문, 문의, 로그인을 처리하는 프로그램입니다. 식당으로 치면 손님 눈에 안 보이는 주방과 같습니다. 화면이 홀이라면, Node.js는 그 뒤에서 요리를 만드는 곳입니다.

Node.js 공식 보안 공지에 따르면 이번에 고친 문제는 모두 10개입니다. 위험도 '높음'이 4개, '중간'이 3개, '낮음'이 3개입니다. 국내에서는 KISA 보호나라 보안공지가 10월 23일 업데이트를 권고했습니다.

지금 쓰는 버전	업데이트할 버전	할 일
26 버전대	26.12.1 이상	새 버전으로 올리기
24 버전대	24.22.1 이상	새 버전으로 올리기
22 버전대	22.23.4 이상	새 버전으로 올리기
20 버전대 이하	고친 버전 없음	지원되는 버전으로 옮기기

공식 공지에는 따로 피해 가는 방법이 적혀 있지 않습니다. 새 버전으로 올리는 것이 사실상 유일한 해결책입니다.

한 줄 정리: 홈페이지 주방 설비에 결함이 발견돼, 고친 새 설비가 나온 상황입니다.

알아두면 좋은 용어

아래 다섯 단어만 알면 업체와 대화가 훨씬 쉬워집니다.

보안 공지에 자주 나오는 말을 쉬운 뜻과 비유로 정리했습니다.

용어	쉬운 뜻	비유·예시
서버	홈페이지가 24시간 켜져 있는 컴퓨터	가게가 들어선 건물
Node.js	서버에서 주문·문의를 처리하는 프로그램	건물 안 주방
버전	프로그램이 몇 번째로 고쳐졌는지 나타내는 번호	차량 연식
보안 업데이트	보안 구멍을 막은 새 버전으로 바꾸는 것	낡은 자물쇠 교체
지원 종료	만든 곳이 더 이상 고쳐 주지 않는 상태	단종돼 부품이 안 나오는 차

한 줄 정리: 서버는 건물, Node.js는 주방, 보안 업데이트는 자물쇠 교체입니다.

그래서 우리 가게에는? 우리 홈페이지도 해당되나요?

홈페이지가 Node.js로 만들어졌다면 해당되고, 아니라면 이번 권고와 직접 관계는 없습니다.

문제는 사장님이 화면만 봐서는 알 수 없다는 점입니다. 같은 모양의 홈페이지도 뒤에서 쓰는 프로그램은 제각각입니다. 그래서 만든 업체에 물어보는 것이 가장 빠릅니다.

예를 들어, 직원 5명인 인테리어 회사가 외주 업체에 견적 문의 홈페이지를 맡겼다고 해 보겠습니다. 이 경우 서버 관리 계약이 누구에게 있는지부터 봐야 합니다. 업체가 관리 중이면 업체가 올리고, 계약이 끝났다면 사장님이 따로 요청해야 합니다.

홈페이지 형태	누가 업데이트하나	사장님이 할 일
업체가 만들고 관리도 하는 곳	제작 업체	업데이트 일정만 확인
업체가 만들고 관리 계약은 끝난 곳	사장님이 다시 요청	유지보수 요청 보내기
쇼핑몰·홈페이지 임대 플랫폼	플랫폼 회사	플랫폼 공지 확인

참고로 잇다웹 자주 묻는 질문에는 서버 프로그램을 Node.js로 만든다고 적혀 있습니다. 2026년 10월 공식 페이지 기준입니다. 이렇게 업체가 기술 구성을 공개해 두면 해당 여부를 바로 알 수 있습니다.

한 줄 정리: 화면으로는 알 수 없으니, 만든 업체에 "Node.js 쓰나요?"부터 물어보세요.

AWS 같은 클라우드 서버에 올린 홈페이지도 업데이트해야 하나요?

네, AWS(아마존 웹 서비스)에 올렸다고 Node.js가 저절로 바뀌지는 않습니다.

AWS 같은 클라우드는 서버 자리를 빌려주는 곳입니다. 건물주는 건물 전기와 보안 문을 관리합니다. 하지만 세입자가 들여놓은 주방 기구까지 바꿔 주지는 않습니다.

서버를 통째로 빌려 쓰는 방식이라면, 그 안의 Node.js는 업체나 개발자가 올려야 합니다. 반대로 서버 관리까지 맡기는 방식은 작은 수정 버전이 자동으로 바뀌는 경우도 있습니다. 어느 쪽인지는 설정에 따라 다르니 업체에 확인하세요.

서버 형태	쉬운 설명	업데이트 주체
서버를 통째로 빌린 방식	빈 가게를 통째로 임대	업체·개발자가 직접
관리까지 맡기는 방식	주방 관리까지 포함된 임대	설정에 따라 자동 또는 직접
임대형 홈페이지 플랫폼	완성된 매장에 입점	플랫폼 회사

AWS 같은 클라우드 데이터센터의 서버 보관 장비가 줄지어 서 있는 모습

한 줄 정리: 건물주는 건물만 지키고, 주방 설비 교체는 세입자 몫입니다.

업체에 연락할 때 무엇을 물어보면 되나요?

아래 질문 3개를 그대로 보내면 충분합니다.

업체가 바쁘면 짧고 정확한 질문에 먼저 답합니다. 문자나 메일에 아래 내용을 그대로 붙여 보내세요.

우리 홈페이지 서버에서 Node.js를 쓰나요?
지금 쓰는 Node.js 버전은 몇 번인가요?
10월 보안 업데이트 버전으로 언제 올려 주실 수 있나요?

답을 받으면 버전 번호를 위 표와 비교해 보세요. 20 이하 버전이라는 답이 오면, 지원되는 버전으로 옮기는 일정을 따로 잡아야 합니다. 옮기는 작업은 단순 업데이트보다 시간이 더 걸릴 수 있습니다.

관리 계약이 끝났다면 건별 유지보수로 요청할 수 있습니다. 잇다웹 유지보수 안내에는 건별 요청은 계약 없이 가능하다고 적혀 있습니다. 서버 장애는 접수 당일 대응합니다(2026년 10월 공식 페이지 기준).

한 줄 정리: "Node.js 쓰나요, 몇 버전인가요, 언제 올리나요" 세 줄이면 됩니다.

업데이트를 미루면 어떤 일이 생길 수 있나요?

공지가 나온 뒤에는 보안 구멍이 널리 알려지므로, 미룰수록 위험해집니다.

보안 공지는 고친 방법과 함께 문제가 무엇인지도 공개합니다. 그래서 공지 뒤에는 아직 안 고친 홈페이지를 찾는 공격이 늘기 쉽습니다. 공식 공지에 따르면 위험도 높은 문제 중 하나는 압축 데이터를 풀 때 메모리가 망가지는 문제입니다. 최악의 경우 외부에서 명령을 실행할 수 있다고 적혀 있습니다.

사장님들이 자주 하는 실수를 표로 정리했습니다.

흔한 실수	왜 위험한가요	대신 이렇게
작은 홈페이지라 괜찮다고 생각하기	공격 프로그램은 크기를 가리지 않고 찾음	이번 주 안에 업체에 확인
20 이하 버전을 그대로 두기	앞으로도 고쳐지지 않음	지원 버전으로 옮기는 일정 잡기
올린 뒤 확인하지 않기	문의·주문이 멈춰도 모를 수 있음	테스트 문의 1건 보내 보기

한 줄 정리: 보안 업데이트는 미룰수록 손해이고, 올린 뒤 확인까지 해야 끝납니다.