개발자 브리핑

풀스택 개발자 브리핑 · 2026-10-23 (금)

오늘의 핵심

PHP2Shell 악용 시도가 패치 공개(10/21)보다 나흘 앞선 10/17부터 있었다는 Amazon의 분석이 나왔습니다.
일본에서는 총리가 직접 X로 PHP 패치를 요청했고, 여러 서비스가 긴급 점검에 들어갔습니다.
Google Cloud가 에이전트 전용 컴퓨트 Agent Compute Engine을 공개했고, Node.js 26.12/24.22와 React Router 8.5도 나왔습니다.

프론트엔드

React Router 8.5, 자체 view transition API를 deprecated 처리
React Router 8.5는 자체 view transition API를 React 19.3+의 <ViewTransition> 컴포넌트로 대체하도록 deprecated 처리했고, 실험적인 'API-only' 모드도 추가했습니다.
실무 포인트: v8 동안은 계속 동작하지만 v9에서 사라질 예정이므로, 쓰는 코드가 있다면 미리 React 쪽 컴포넌트로 옮길 계획을 잡아 두세요.
출처: JavaScript Weekly #807
JPEG XL, 주요 브라우저 모두 지원
Firefox 158이 JPEG XL을 기본 활성화하면서 주요 브라우저가 모두 이 포맷을 지원하게 됐다고 JavaScript Weekly가 전합니다.
실무 포인트: AVIF와 함께 이미지 파이프라인의 선택지로 비교해 볼 만한 시점입니다.
출처: JavaScript Weekly #807

Node.js 26.12.0(Current)과 24.22.0(LTS) 릴리스
JavaScript Weekly 소개 기준으로 26.12는 대부분의 ES 모듈을 동기적으로 불러올 수 있고 설정 파일 기능이 stable이 됐으며, 24.22에는 util.throttle과 util.debounce가 추가됐습니다.
실무 포인트: 24.x LTS를 쓰고 있다면 10/21 보안 릴리스 이후 버전으로 올릴 때 함께 확인해 보세요.
출처: JavaScript Weekly #807

Google Cloud, Agent Compute Engine 공개(프리뷰는 수개월 내)
하드웨어로 격리된 microVM에서 에이전트를 돌리는 컴퓨트 서비스로, 유휴 상태의 microVM을 일시 정지했다가 스냅샷에서 빠르게 재개합니다. Kubernetes를 쓰는 팀을 위해 오픈소스 Agent Substrate(GKE)도 함께 소개됐습니다.
실무 포인트: 코딩 에이전트나 자동화를 사내에서 돌릴 계획이라면 샌드박스 격리·자격 증명 주입 방식을 설계 참고 자료로 볼 만합니다.
출처: Google Cloud Blog
AWS Interconnect - last mile, Megaport와 프리뷰
콘솔에서 리전·대역폭·Direct Connect Gateway ID 등을 고르면 지사나 데이터센터를 AWS에 연결할 수 있고, BGP·VLAN 설정을 자동화합니다. 프리뷰는 us-west-1과 us-east-1 메트로에서 제공됩니다.
실무 포인트: 도쿄 리전은 아직 대상이 아니므로, 일본 쪽 구성에는 GA 때 지원 범위를 다시 확인해야 합니다.
출처: AWS What's New

PHP2Shell, 패치 4일 전부터 악용 시도
Amazon Threat Intelligence에 따르면 첫 악용 시도는 10/17이었고, 공개 후에는 PoC 기반 공격이 이어졌습니다. 다만 성공 건수는 불분명하다고 합니다. 수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다.
실무 포인트: 패치 공개일 이후 로그만 보지 말고 10/17 이후의 웹 접근 로그를 점검하세요.
출처: BleepingComputer, CISA
Oracle 10월 CPU, 1,209개 CVE 수정
SecurityWeek이 인용한 Tenable 분석으로 치명적(critical) 95건이 포함됐고, MySQL 98건과 Java SE 55건도 들어 있습니다. 악용 사례는 표시되지 않았습니다. 다음 CPU는 2027-01-19입니다.
실무 포인트: MySQL이나 Java SE를 운영한다면 해당 제품 범위의 패치 적용 일정을 확인해 두세요.
출처: SecurityWeek

총리가 X로 직접 PHP 패치 적용 요청
다카이치 총리는 10/21 밤 X에서 패치를 즉시 적용할 준비를 요청했고, 적용이 어려우면 사이트 일시 정지도 위험 완화책이라고 밝혔습니다. BASE, 코도몬 등 국내 서비스가 긴급 점검에 들어갔다고 ITmedia가 전합니다.
실무 포인트: 취약점 대응 때 서비스 일시 정지를 판단할 근거가 생긴 셈이라, 사내 대응 기준에 정지 판단 절차가 있는지 점검해 볼 만합니다.
출처: ITmedia NEWS

주말 전에 PHP 쪽 로그와 버전만이라도 한 번 확인해 보세요.