이번 주 그리고 2026년 초 웹 플랫폼 생태계를 정의하는 가장 큰 뉴스는 The Astro Technology Company의 Cloudflare 합류입니다. Cloudflare는 Astro 엔지니어링 팀 전원을 인수하면서도 프레임워크를 MIT 라이선스로 오픈소스 유지하고, 모든 플랫폼을… 개발자가 바로 활용할 수 있도록 정리했습니다.
CVE-2025-55131은 vm 모듈의 타임아웃 타이밍 경합으로 Buffer.alloc가 미초기화 메모리를 반환할 수 있는 문제이고, CVE-2025-55130은 심볼릭 링크를 활용해 --allow-fs-read/write 권한 모델을 우회하는 취약점이며, CVE-2025-59465는 잘못된 형식의 HTTP/2 HPACK HEADERS 프레임으로 서버 프로세스가 비정상 종료되는 DoS입니다. 중간 심각도(Medium) 취약점 4건도 함께 수정되었으며, c-ares 1.34.6 및 undici 6.23.0/7.18.0 의존성도 업데이트되었습니다. 모든 활성 릴리스 라인이 영향을 받으므로 즉시 업그레이드가 권고됩니다.
async_hooks가 활성화된 상태로 사용자 코드의 재귀 호출이 스택을 소진하면, RangeError를 발생시키는 대신 프로세스가 종료 코드 7로 즉시 종료되는 문제가 발견되었습니다. React Server Components와 Next.js는 요청 컨텍스트 추적에 AsyncLocalStorage(내부적으로 async_hooks 기반)를 사용하며, Datadog·New Relic·OpenTelemetry 등 주요 APM 도구도 동일하게 이를 활용합니다. 이로 인해 공격자가 깊게 중첩된 JSON 등 사용자 입력으로 스택 오버플로를 유발하면 서버 전체가 즉시 종료되는 DoS가 가능합니다. Node.js 팀은 스택 오버플로 오류를 치명적 훅 오류로 처리하는 대신 사용자 코드로 재전파하도록 TryCatchScope를 수정했습니다. Node.js 20.20.0·22.22.0·24.13.0·25.3.0에 완화책이 포함되었으나, 스택 공간 소진 복구는 ECMAScript 명세에 미지정 동작이므로 재귀 깊이를 입력 검증으로 제한하는 것이 근본적 해결책입니다.
devalue, svelte, @sveltejs/kit, @sveltejs/adapter-node에 걸쳐 총 5건의 취약점 패치를 공개했습니다. CVE-2026-22775와 CVE-2026-22774는 devalue.parse의 별개 DoS 결함으로, 악성 페이로드가 임의적으로 큰 메모리를 할당해 프로세스를 종료시킬 수 있습니다. CVE-2026-22803은 experimental.remoteFunctions가 활성화된 @sveltejs/kit 2.49.0–2.49.4에서 바이너리 폼 역직렬화기를 통한 메모리 증폭 DoS를 유발합니다. CVE-2025-67647은 사전 렌더링 라우트를 대상으로 DoS 및 SSRF를, 특정 리버스 프록시 구성에서는 캐시 포이즈닝 XSS로 이어질 수 있습니다. CVE-2025-15265는 svelte 5.46.0–5.46.3의 hydratable API에서 비위생 키 처리로 인한 XSS입니다. 수정 버전은 각각 devalue 5.6.2, svelte 5.46.4, @sveltejs/kit 2.49.5, @sveltejs/adapter-node 5.5.1입니다.
CodeRabbit CLI 등 도구를 이용한 사전 로컬 리뷰 후 반드시 사람의 최종 검토를 거칠 것을 권장합니다.CodeRabbit CLI 등 도구를 이용한 사전 로컬 리뷰 후 반드시 사람의 최종 검토를 거칠 것을 권장합니다.CVE-2025-55131은 vm 모듈의 타임아웃 타이밍 경합으로 Buffer.alloc가 미초기화 메모리를 반환할 수 있는 문제이고, CVE-2025-55130은 심볼릭 링크를 활용해 --allow-fs-read/write 권한 모델을 우회하는 취약점이며, CVE-2025-59465는 잘못된 형식의 HTTP/2 HPACK HEADERS 프레임으로 서버 프로세스가 비정상 종료되는 DoS입니다. 중간 심각도(Medium) 취약점 4건도 함께 수정되었으며, c-ares 1.34.6 및 undici 6.23.0/7.18.0 의존성도 업데이트되었습니다. 모든 활성 릴리스 라인이 영향을 받으므로 즉시 업그레이드가 권고됩니다.async_hooks가 활성화된 상태로 사용자 코드의 재귀 호출이 스택을 소진하면, RangeError를 발생시키는 대신 프로세스가 종료 코드 7로 즉시 종료되는 문제가 발견되었습니다. React Server Components와 Next.js는 요청 컨텍스트 추적에 AsyncLocalStorage(내부적으로 async_hooks 기반)를 사용하며, Datadog·New Relic·OpenTelemetry 등 주요 APM 도구도 동일하게 이를 활용합니다. 이로 인해 공격자가 깊게 중첩된 JSON 등 사용자 입력으로 스택 오버플로를 유발하면 서버 전체가 즉시 종료되는 DoS가 가능합니다. Node.js 팀은 스택 오버플로 오류를 치명적 훅 오류로 처리하는 대신 사용자 코드로 재전파하도록 TryCatchScope를 수정했습니다. Node.js 20.20.0·22.22.0·24.13.0·25.3.0에 완화책이 포함되었으나, 스택 공간 소진 복구는 ECMAScript 명세에 미지정 동작이므로 재귀 깊이를 입력 검증으로 제한하는 것이 근본적 해결책입니다.devalue, svelte, @sveltejs/kit, @sveltejs/adapter-node에 걸쳐 총 5건의 취약점 패치를 공개했습니다. CVE-2026-22775와 CVE-2026-22774는 devalue.parse의 별개 DoS 결함으로, 악성 페이로드가 임의적으로 큰 메모리를 할당해 프로세스를 종료시킬 수 있습니다. CVE-2026-22803은 experimental.remoteFunctions가 활성화된 @sveltejs/kit 2.49.0–2.49.4에서 바이너리 폼 역직렬화기를 통한 메모리 증폭 DoS를 유발합니다. CVE-2025-67647은 사전 렌더링 라우트를 대상으로 DoS 및 SSRF를, 특정 리버스 프록시 구성에서는 캐시 포이즈닝 XSS로 이어질 수 있습니다. CVE-2025-15265는 svelte 5.46.0–5.46.3의 hydratable API에서 비위생 키 처리로 인한 XSS입니다. 수정 버전은 각각 devalue 5.6.2, svelte 5.46.4, @sveltejs/kit 2.49.5, @sveltejs/adapter-node 5.5.1입니다.이번 주 그리고 2026년 초 웹 플랫폼 생태계를 정의하는 가장 큰 뉴스는 The Astro Technology Company의 Cloudflare 합류입니다. Cloudflare는 Astro 엔지니어링 팀 전원을 인수하면서도 프레임워크를 MIT 라이선스로 오픈소스 유지하고, 모든 플랫폼을 지원하며, 완전한 오픈 거버넌스 체계를 유지합니다. 주간 다운로드 약 100만 회를 기록하며 Webflow, Wix, Microsoft, Google이 사용하는 Astro는 수년간의 지속 가능한 비즈니스 모델 탐색을 마무리합니다. 공동 창업자 Fred K. Schott과 Cloudflare CTO Dane Knecht은 1년 이상 콘텐츠 중심 웹사이트와 AI 시대 프레임워크의 미래를 논의해 왔습니다. 2026년 로드맵은 공개적 커뮤니티 거버넌스를 유지하며, 현재 베타 중인 Astro 6는 영향을 받지 않습니다.
이슈의 나머지를 보안 헤드라인이 지배했습니다. Node.js는 모든 활성 릴리스 라인(20.x~25.x)에 대해 8개 CVE를 포함한 패치를 출시했습니다. 고심각도 3건: vm 모듈의 미초기화 버퍼 노출(CVE-2025-55131), 심볼릭 링크를 통한 권한 모델 우회(CVE-2025-55130), HTTP/2 HPACK 충돌(CVE-2025-59465). 별도의 심층 분석은 async_hooks DoS 벡터를 설명합니다. AsyncLocalStorage가 활성화된 상태에서(React Server Components, Next.js, 대부분의 APM 도구) 깊게 중첩된 사용자 입력으로 스택 오버플로가 발생하면 처리 가능한 오류가 아닌 종료 코드 7로 프로세스가 종료됩니다. Svelte는 DoS, SSRF, 캐시 포이즈닝 XSS, hydratable API XSS를 포함한 5개 CVE를 패치했습니다.
두 가지 산업 이야기가 이슈를 마무리합니다. Anthropic은 Python Software Foundation에 150만 달러를 투자하여 모든 PyPI 업로드에 대한 자동 악성코드 탐지를 지원합니다. Forrester 애널리스트들은 이를 전략적 이익과 공익을 동시에 추구하는 움직임으로 평가했습니다. Brad Traversy는 AI 생성 코드 보안에 대한 냉정한 데이터를 제시합니다. CodeRabbit의 오픈소스 PR 470건 분석에서 AI 생성 PR이 평균 1.7배 더 많은 이슈를, 심각도(Critical) 항목은 1.4배 더 많이 포함했습니다. 이는 AI로 인한 문서 트래픽 감소가 약 80%의 매출 하락을 초래한 Tailwind의 사례와 함께 AI 영향을 날카롭게 조명합니다.