> ## Content Index
> Fetch the complete content index at: https://blog.amuse.ing/llms.txt
> Use this file to discover other available public pages before exploring further.

# 풀스택 개발자 브리핑 · 2026-10-14 (수)
- URL: https://blog.amuse.ing/dev-brief-2026-10-14/
- Published: 2026-10-13T21:08:47.000Z
- Updated: 2026-10-13T21:08:47.000Z
- Author: hark
- Tags: 개발자 브리핑, 프론트엔드, 클라우드·인프라, AI·개발도구, 보안, 일본 IT 커리어

**오늘의 핵심**

- 셀프 호스팅 GitLab에 CVSS 10.0 원격 코드 실행 취약점 패치가 나왔습니다. 19.4.2 / 19.3.5 / 19.2.8 이상으로 올려야 합니다.
- AWS Lambda가 Express·Hono·Next.js 같은 일반 HTTP 서버를 코드 수정 없이 올리는 Web Functions를 발표했고, 도쿄 리전도 지원합니다.
- NICT가 공개 앱을 분석해 뒤쪽 서버를 노리는 "A2B 공격"을 공표했습니다. API 권한 점검이 필요합니다.

## 프론트엔드

- **TanStack Start 1.0 정식 출시**  
TanStack 팀이 10월 13일 Start 1.0을 안정 버전으로 선언했습니다. 타입 안전한 서버 함수, 선택적 SSR, 클라이언트·서버를 넘나드는 미들웨어를 제공하고, Vite와 Nitro 기반이라 배포 대상을 고르기 쉽습니다.  
실무 포인트: Next.js에서 옮겨 올 때를 위한 마이그레이션 가이드가 공식 문서에 있으니, 작은 내부 도구부터 시험해 보면 부담이 적습니다.  
출처: [TanStack Start 1.0 is Stable](https://tanstack.com/blog/tanstack-start-1-0?ref=blog.amuse.ing)

## 클라우드·인프라

- **AWS Lambda Web Functions 발표**  
포트를 listen하는 일반 HTTP 서버(Express, Hono, Fastify, Next.js 등)를 이벤트 핸들러로 바꾸지 않고 `aws lambda-web deploy` 한 줄로 배포할 수 있습니다. 환경 하나가 최대 128개 요청을 동시에 처리하고, CPU 사용 시간 기준으로 과금합니다. 시작 시점에는 Node.js 24(arm64)만 지원하며, 도쿄(ap-northeast-1)를 포함한 5개 리전에서 쓸 수 있습니다.  
실무 포인트: DB나 외부 API 대기가 긴 SSR·API 백엔드라면 기존 Lambda 대비 비용이 줄 수 있으니 요금 페이지로 시뮬레이션해 볼 만합니다.  
출처: [AWS News Blog](https://aws.amazon.com/blogs/aws/announcing-aws-lambda-web-functions-for-fast-consistent-web-app-performance-anywhere/?ref=blog.amuse.ing)

## AI·개발도구

- **AWS Agent Toolkit에 SageMaker AI/ML 스킬 추가**  
코딩 에이전트가 SageMaker에서 모델 선택·학습·최적화·배포까지 다른 AWS 작업과 한 흐름으로 수행할 수 있게 하는 스킬입니다. 앞으로 Agent Toolkit for AWS가 공식 통합 창구가 되고, 기존 AWS Labs 스킬과 플러그인을 대체한다고 합니다.  
실무 포인트: AWS Labs 쪽 스킬을 쓰고 있었다면 Agent Toolkit 쪽 설치·업데이트 경로로 옮길 준비를 해 두세요.  
출처: [AWS What's New](https://aws.amazon.com/about-aws/whats-new/2026/10/bring-sagemaker-ai-expertise-to-your-coding-agent/?ref=blog.amuse.ing)
- **국산 AI "Sarashina" 무료 베타 서비스 시작**  
SB Intuitions가 10월 13일 Sarashina3 mini·nano·embedding·rerank·guard·translate 6개 모델을 API와 웹 채팅으로 무료 공개했습니다. Google 계정으로 바로 쓸 수 있고 요청 횟수 제한이 있으며, 베타 중에는 이용 데이터가 품질 개선에 쓰일 수 있다고 명시되어 있습니다.  
실무 포인트: 일본어 RAG의 embedding·rerank나 일영 번역 품질을 비교해 보기에 좋지만, 업무 데이터는 약관을 확인한 뒤에 넣으세요.  
출처: [SB Intuitions 보도자료](https://www.sbintuitions.co.jp/news/press/20261013%5F01/?ref=blog.amuse.ing)

## 보안

- **GitLab CE/EE 치명적 RCE (CVE-2026-97229, CVSS 10.0)**  
CI/CD 정규식 컴파일러의 정수 오버플로로 서버에서 임의 코드가 실행될 수 있습니다. 19.4.2, 19.3.5, 19.2.8에서 수정됐고 GitLab.com은 이미 패치됐습니다. Rapid7은 공개 프로젝트를 만들 수 있는 일반 계정으로도 재현이 가능하다고 밝혔으며, 현재까지 실제 악용은 확인되지 않았다고 합니다.  
실무 포인트: 셀프 호스팅이라면 정기 패치 주기를 기다리지 말고 바로 올리고, 가입이 열려 있는 인스턴스는 특히 서두르세요.  
출처: [Help Net Security](https://www.helpnetsecurity.com/2026/10/13/gitlab-ci-cd-regular-expression-compiler-vulnerability-cve-2026-97229/?ref=blog.amuse.ing)
- **npm Trusted Publishing 결함으로 1,500개 이상 패키지 탈취 위험**  
maintainer가 버린 GitHub 저장소 이름을 다른 사람이 선점하면 토큰 없이 새 버전을 배포할 수 있었습니다. GitHub는 검증되지 않은 설정이 생성 후 48시간 뒤 만료되도록 바꿨다고 밝혔고, 실제 악용 여부는 알려지지 않았습니다.  
실무 포인트: 패키지를 배포한다면 `npm trust list`로 연결된 저장소가 아직 내 것인지 확인하고, 저장소 이름을 바꾸거나 삭제하기 전에 연결부터 해제하세요.  
출처: [Help Net Security](https://www.helpnetsecurity.com/2026/10/13/slugfest-npm-trusted-publishing-flaw/?ref=blog.amuse.ing)
- **Next.js 보안 업데이트, 오늘(10/14) 예고**  
10월 8일 Next.js 팀이 상류 의존성의 Critical 2건과 High 1건을 다루는 긴급 업데이트를 10월 14일에 낼 예정이라고 공지했습니다. 이 글을 쓰는 시점에 블로그 목록에는 상세 공지가 아직 올라와 있지 않았습니다.  
실무 포인트: 오늘 중 Next.js 블로그와 GitHub Releases를 확인하고, 올릴 버전이 정해지면 바로 적용할 수 있게 준비해 두세요.  
출처: [Next.js Blog](https://nextjs.org/blog?ref=blog.amuse.ing)

## 일본 IT 커리어

- **NICT, 앱을 통해 백엔드를 노리는 "A2B 공격" 공표**  
일본 내 정보 유출의 한 원인으로, 공개된 Android 앱을 분석해 접속 서버와 API를 파악한 뒤 서버를 공격하는 수법을 NICT LETTICE가 10월 13일 공개했습니다. iOS 앱과 웹 서비스에도 같은 문제가 생길 수 있고, AI로 분석이 쉬워질 수 있다고 지적합니다.  
실무 포인트: API 권한 누락(IDOR/BOLA), SSRF, SQL 인젝션을 우선 점검하고, 쓰지 않는 API는 막거나 접근을 제한하라는 것이 권고입니다.  
출처: [ITmedia NEWS](https://www.itmedia.co.jp/news/article/2610/13/2000002230/?ref=blog.amuse.ing)
- **State of Devs 2026: 일본 개발자 연봉 중앙값 약 750만 엔**  
약 5,500명이 응답한 조사에서 일본 응답자(50명)의 연봉 중앙값은 $50K(약 750만 엔, 1달러=150엔 환산)였고, 전체 중앙값은 $90K였습니다. 응답자의 약 절반이 자기 코드의 75% 이상을 AI가 작성한다고 답했습니다. 일본 표본이 작은 점은 감안해야 합니다.  
실무 포인트: 협상이나 이직 때 참고 수치로 쓰되, 표본이 50명이라 업계 전체 평균으로 받아들이기는 어렵습니다.  
출처: [Publickey](https://www.publickey1.jp/blog/26/state%5Fof%5Fdevs%5F2026%5Fai.html?ref=blog.amuse.ing)

오늘 가장 급한 일은 GitLab 패치 확인이고, 오후에는 Next.js 공지를 한 번 열어 보세요.