Next.js 보안 patch, Node.js 24.20 permission, Rspack 2.2 성능 개선이 35주 JavaScript의 execution boundary를 드러냅니다. 개발자가 바로 활용할 수 있도록 정리했습니다.
Next.js 16.3.3과 15.5.24는 critical unauthenticated RCE 경로 2개를 수정합니다. 하나는 Image Optimization API가 공격자 제어 AVIF를 libheif로 처리할 때 발생해 upstream 수정 전까지 AVIF optimization이 비활성화됩니다. 다른 하나는 Cache Components 없이 Pages Router와 App Router를 함께 쓰는 Windows server에 영향을 줍니다. Linux와 macOS는 해당 경로의 영향을 받지 않지만 Windows deployment에는 workaround가 없으므로 configuration이 아니라 patch가 필요합니다.
Node.js 24.20.0 LTS는 runtime 권한을 더 관찰 가능하고 철회 가능하게 만듭니다. permission.drop은 부여된 access를 영구 제거하고 --permission-audit는 거부된 작업을 throw 없이 기록해 enforcement 전에 requirement를 찾게 합니다. Package map, node:stream/iter, structured test log, Buffer search의 end bound, WebAssembly JSPI도 추가됩니다. Dependency, crypto, stream, QUIC, memory fix가 긴 changelog에 포함되므로 production workload에 맞춘 regression test가 필요합니다.
Rspack 2.2는 30개 넘는 성능 변경을 묶어 benchmark에서 production build를 1,822ms에서 1,725ms로 줄이고 CopyRspackPlugin을 약 3–4배 빠르게 하며 built-in CSS parsing을 3배로 높이고 한 Wasm plugin load를 약 80% 줄였습니다. Baseline Browserslist query, compact stable ID, Module Federation test, Playwright integration, 500개 넘는 Rslint rule도 추가됩니다. Upgrade 시 SWC Wasm plugin을 swc_core 77로 rebuild하고 breaking RSC CSS-loading 변화를 검토해야 합니다.
Next.js 16.3.3과 15.5.24는 critical unauthenticated RCE 경로 2개를 수정합니다. 하나는 Image Optimization API가 공격자 제어 AVIF를 libheif로 처리할 때 발생해 upstream 수정 전까지 AVIF optimization이 비활성화됩니다. 다른 하나는 Cache Components 없이 Pages Router와 App Router를 함께 쓰는 Windows server에 영향을 줍니다. Linux와 macOS는 해당 경로의 영향을 받지 않지만 Windows deployment에는 workaround가 없으므로 configuration이 아니라 patch가 필요합니다.
Node.js 24.20.0 LTS는 runtime 권한을 더 관찰 가능하고 철회 가능하게 만듭니다. permission.drop은 부여된 access를 영구 제거하고 --permission-audit는 거부된 작업을 throw 없이 기록해 enforcement 전에 requirement를 찾게 합니다. Package map, node:stream/iter, structured test log, Buffer search의 end bound, WebAssembly JSPI도 추가됩니다. Dependency, crypto, stream, QUIC, memory fix가 긴 changelog에 포함되므로 production workload에 맞춘 regression test가 필요합니다.
Rspack 2.2는 30개 넘는 성능 변경을 묶어 benchmark에서 production build를 1,822ms에서 1,725ms로 줄이고 CopyRspackPlugin을 약 3–4배 빠르게 하며 built-in CSS parsing을 3배로 높이고 한 Wasm plugin load를 약 80% 줄였습니다. Baseline Browserslist query, compact stable ID, Module Federation test, Playwright integration, 500개 넘는 Rslint rule도 추가됩니다. Upgrade 시 SWC Wasm plugin을 swc_core 77로 rebuild하고 breaking RSC CSS-loading 변화를 검토해야 합니다.
Next.js는 두 번째 critical 취약점을 발견한 뒤 8월 security release를 앞당겼습니다. 16.3.3과 15.5.24는 공격자가 제어하는 AVIF optimization과 별도의 Windows server 경로에서 발생하는 unauthenticated remote code execution을 수정합니다. AVIF optimization은 upstream library 수정이 반영될 때까지 비활성화되며, 영향을 받는 Windows 배포에는 patch 외의 workaround가 없습니다.
Node.js 24.20.0 LTS는 runtime 자체의 policy surface를 확장합니다. permission.drop은 권한을 영구히 내려놓고, --permission-audit는 거부된 작업을 throw 없이 기록합니다. Package map, iterable stream, test logging, WebAssembly JSPI도 추가되어 권한과 asynchronous work를 core API에서 더 분명하게 드러냅니다.
Rspack 2.2는 30개가 넘는 성능 최적화를 적용해 production build를 약 5% 단축하고 CopyRspackPlugin을 3–4배 빠르게 하며 CSS parsing을 3배로 높이고 한 Wasm plugin load를 약 80% 줄였다고 보고합니다. Breaking SWC Wasm boundary와 RSC integration 변화는 성능 향상에도 명시적 compatibility contract가 필요함을 보여줍니다.
Next.js를 16.3.3 또는 15.5.24로 즉시 patch하세요. Cache Components 없이 두 router를 쓰는 Windows server는 upgrade 외에 RCE를 완화할 방법이 없습니다.Node.js permission audit mode로 필요한 access를 관찰한 뒤 권한을 영구히 내리고, experimental stream과 Wasm API는 명확한 rollout boundary 뒤에서 검증하세요.SWC Wasm plugin을 swc_core 77로 rebuild한 뒤 framework integration의 RSC CSS loading을 검토하세요.