풀스택 개발자 브리핑 · 2026-10-14 (수)

오늘의 핵심

• 셀프 호스팅 GitLab에 CVSS 10.0 원격 코드 실행 취약점 패치가 나왔습니다. 19.4.2 / 19.3.5 / 19.2.8 이상으로 올려야 합니다.
• AWS Lambda가 Express·Hono·Next.js 같은 일반 HTTP 서버를 코드 수정 없이 올리는 Web Functions를 발표했고, 도쿄 리전도 지원합니다.
• NICT가 공개 앱을 분석해 뒤쪽 서버를 노리는 "A2B 공격"을 공표했습니다. API 권한 점검이 필요합니다.

프론트엔드

• TanStack Start 1.0 정식 출시
  TanStack 팀이 10월 13일 Start 1.0을 안정 버전으로 선언했습니다. 타입 안전한 서버 함수, 선택적 SSR, 클라이언트·서버를 넘나드는 미들웨어를 제공하고, Vite와 Nitro 기반이라 배포 대상을 고르기 쉽습니다.
  실무 포인트: Next.js에서 옮겨 올 때를 위한 마이그레이션 가이드가 공식 문서에 있으니, 작은 내부 도구부터 시험해 보면 부담이 적습니다.
  출처: TanStack Start 1.0 is Stable

클라우드·인프라

• AWS Lambda Web Functions 발표
  포트를 listen하는 일반 HTTP 서버(Express, Hono, Fastify, Next.js 등)를 이벤트 핸들러로 바꾸지 않고 aws lambda-web deploy 한 줄로 배포할 수 있습니다. 환경 하나가 최대 128개 요청을 동시에 처리하고, CPU 사용 시간 기준으로 과금합니다. 시작 시점에는 Node.js 24(arm64)만 지원하며, 도쿄(ap-northeast-1)를 포함한 5개 리전에서 쓸 수 있습니다.
  실무 포인트: DB나 외부 API 대기가 긴 SSR·API 백엔드라면 기존 Lambda 대비 비용이 줄 수 있으니 요금 페이지로 시뮬레이션해 볼 만합니다.
  출처: AWS News Blog

AI·개발도구

• AWS Agent Toolkit에 SageMaker AI/ML 스킬 추가
  코딩 에이전트가 SageMaker에서 모델 선택·학습·최적화·배포까지 다른 AWS 작업과 한 흐름으로 수행할 수 있게 하는 스킬입니다. 앞으로 Agent Toolkit for AWS가 공식 통합 창구가 되고, 기존 AWS Labs 스킬과 플러그인을 대체한다고 합니다.
  실무 포인트: AWS Labs 쪽 스킬을 쓰고 있었다면 Agent Toolkit 쪽 설치·업데이트 경로로 옮길 준비를 해 두세요.
  출처: AWS What's New
• 국산 AI "Sarashina" 무료 베타 서비스 시작
  SB Intuitions가 10월 13일 Sarashina3 mini·nano·embedding·rerank·guard·translate 6개 모델을 API와 웹 채팅으로 무료 공개했습니다. Google 계정으로 바로 쓸 수 있고 요청 횟수 제한이 있으며, 베타 중에는 이용 데이터가 품질 개선에 쓰일 수 있다고 명시되어 있습니다.
  실무 포인트: 일본어 RAG의 embedding·rerank나 일영 번역 품질을 비교해 보기에 좋지만, 업무 데이터는 약관을 확인한 뒤에 넣으세요.
  출처: SB Intuitions 보도자료

보안

• GitLab CE/EE 치명적 RCE (CVE-2026-97229, CVSS 10.0)
  CI/CD 정규식 컴파일러의 정수 오버플로로 서버에서 임의 코드가 실행될 수 있습니다. 19.4.2, 19.3.5, 19.2.8에서 수정됐고 GitLab.com은 이미 패치됐습니다. Rapid7은 공개 프로젝트를 만들 수 있는 일반 계정으로도 재현이 가능하다고 밝혔으며, 현재까지 실제 악용은 확인되지 않았다고 합니다.
  실무 포인트: 셀프 호스팅이라면 정기 패치 주기를 기다리지 말고 바로 올리고, 가입이 열려 있는 인스턴스는 특히 서두르세요.
  출처: Help Net Security
• npm Trusted Publishing 결함으로 1,500개 이상 패키지 탈취 위험
  maintainer가 버린 GitHub 저장소 이름을 다른 사람이 선점하면 토큰 없이 새 버전을 배포할 수 있었습니다. GitHub는 검증되지 않은 설정이 생성 후 48시간 뒤 만료되도록 바꿨다고 밝혔고, 실제 악용 여부는 알려지지 않았습니다.
  실무 포인트: 패키지를 배포한다면 npm trust list로 연결된 저장소가 아직 내 것인지 확인하고, 저장소 이름을 바꾸거나 삭제하기 전에 연결부터 해제하세요.
  출처: Help Net Security
• Next.js 보안 업데이트, 오늘(10/14) 예고
  10월 8일 Next.js 팀이 상류 의존성의 Critical 2건과 High 1건을 다루는 긴급 업데이트를 10월 14일에 낼 예정이라고 공지했습니다. 이 글을 쓰는 시점에 블로그 목록에는 상세 공지가 아직 올라와 있지 않았습니다.
  실무 포인트: 오늘 중 Next.js 블로그와 GitHub Releases를 확인하고, 올릴 버전이 정해지면 바로 적용할 수 있게 준비해 두세요.
  출처: Next.js Blog

일본 IT 커리어

• NICT, 앱을 통해 백엔드를 노리는 "A2B 공격" 공표
  일본 내 정보 유출의 한 원인으로, 공개된 Android 앱을 분석해 접속 서버와 API를 파악한 뒤 서버를 공격하는 수법을 NICT LETTICE가 10월 13일 공개했습니다. iOS 앱과 웹 서비스에도 같은 문제가 생길 수 있고, AI로 분석이 쉬워질 수 있다고 지적합니다.
  실무 포인트: API 권한 누락(IDOR/BOLA), SSRF, SQL 인젝션을 우선 점검하고, 쓰지 않는 API는 막거나 접근을 제한하라는 것이 권고입니다.
  출처: ITmedia NEWS
• State of Devs 2026: 일본 개발자 연봉 중앙값 약 750만 엔
  약 5,500명이 응답한 조사에서 일본 응답자(50명)의 연봉 중앙값은 $50K(약 750만 엔, 1달러=150엔 환산)였고, 전체 중앙값은 $90K였습니다. 응답자의 약 절반이 자기 코드의 75% 이상을 AI가 작성한다고 답했습니다. 일본 표본이 작은 점은 감안해야 합니다.
  실무 포인트: 협상이나 이직 때 참고 수치로 쓰되, 표본이 50명이라 업계 전체 평균으로 받아들이기는 어렵습니다.
  출처: Publickey

오늘 가장 급한 일은 GitLab 패치 확인이고, 오후에는 Next.js 공지를 한 번 열어 보세요.