Node.js 서버는 외부에서 받은 압축 데이터를 풀어 처리하기도 해요. 이번에는 Brotli라는 방식으로 압축한 데이터를 풀 때, 메모리의 허용 범위를 벗어나 데이터를 쓰는 오류가 발견됐습니다. 이 오류는 서버에서 공격자의 코드가 실행되는 문제로 이어질 수 있어요.

Node.js는 2026년 10월 21일 보안 업데이트를 공개했고, 외부에서 받은 압축 데이터를 처리하는 서버에는 우선적인 패치 적용을 권고했습니다.

• 수정 버전은 26.12.1·24.22.1·22.23.4입니다. 사용하는 메이저 버전에 맞는 패치를 적용하고, 지원이 끝난 버전은 지원 중인 계열로 전환해야 해요.

앱을 배포할 때는 외부 API 키나 데이터베이스 비밀번호를 환경 변수에 넣어 두기도 해요. 배포 서비스 Railway는 고객 환경 변수를 저장하는 시스템에 제3자가 무단 접근했을 가능성을 공개했습니다. 암호화된 값뿐 아니라 일부 환경 변수는 암호화가 풀린 내용까지 확보됐을 가능성이 있어요.

초기 분석에서는 일부 사용자만 영향을 받았을 가능성이 있었지만, 조사가 끝나지 않은 상태입니다. Railway는 예방 조치로 모든 사용자에게 저장한 모든 환경 변수를 교체하고, 관련 서비스 로그에서 이상 활동을 점검하라고 권고했어요.

• 교체 대상에는 프로그램 이미지를 보관하는 비공개 레지스트리에 접근할 때 쓰는 키나 비밀번호도 포함됩니다.

GitLab CE/EE가 특정 조건에서 로그인하지 않은 사람도 서버에서 임의의 코드를 실행할 수 있는 취약점을 수정했어요. GitLab은 영향을 받는 서버를 직접 운영하는 경우 즉시 업데이트하도록 권고했습니다. GitLab.com에는 이미 패치가 적용돼 있었어요.

• 수정 버전은 19.5.1·19.4.3·19.3.6입니다. 원격 코드 실행 취약점 수정은 19.2.9·19.1.9·19.0.10·18.11.13에도 제공됐지만, 이 이전 계열에 이번 릴리스의 모든 수정이 포함된 것은 아니에요.
• 업데이트에는 데이터베이스 구조나 데이터를 변경하는 마이그레이션이 포함돼, 단일 노드에서는 서비스가 중단됩니다. 다중 노드에서 중단 없이 적용하려면 해당 업그레이드 절차를 따라야 해요.

macOS·Windows용 Arc가 2026년 12월 22일 작동을 멈춥니다. 개발팀은 엔지니어링·보안 인력을 새 브라우저 Dia에 집중하기로 했어요.

같은 날 모든 Arc 계정도 비활성화되므로, 보관할 데이터는 12월 22일 전에 내보내거나 Dia로 옮겨야 합니다. Arc 계정과 관련된 개인 데이터는 이후 30일 안에 삭제되며, 이 기간이 데이터를 옮길 수 있는 유예 기간은 아니에요.

• 모바일 앱 Arc Search는 2026년 11월 23일 AI 기능·로그인·탭 동기화를 중단합니다.
• iOS에서는 이 기능들이 없는 브라우저를 계속 사용할 수 있어요. Android 버전은 12월 22일 완전히 종료됩니다.

HTTPS 사이트의 인증서는 접속한 사이트의 주소가 맞는지 확인하는 데 쓰입니다. 이런 인증서를 발급하는 eMudhra가 2026년 10월 22일 글로벌 SSL/TLS 인증서 사업에서 철수하겠다고 발표했어요. 최근 인증서 발급에 쓰는 키 사고를 겪은 뒤 나온 결정입니다.

eMudhra는 기존 고객에게 개별 연락해 파트너를 통한 무료 인증서 교체를 제공할 계획이에요. 이미 발급한 인증서가 모두 만료되거나 교체될 때까지는 인증서 폐기와 상태 확인 서비스도 유지할 계획입니다.