Node.js도 난리 났네 (feat. 결국 답은 Go나 Rust인가)

지난번에 PHP 메모리 관리 터지고 RCE 난리 난 거 보면서 "휴, 역시 서버 안 띄우고 Cloudflare Pages에 올려두길 잘했지" 하고 속으로 조용히 안도했었다.
그런데 며칠 지나지도 않아서 Node.js 쪽에서도 또 보안 이슈 터졌다는 소식이 들려온다.
이쯤 되면 "그 언어가 안전하네, 이 언어가 안전하네" 하는 논쟁 자체가 의미가 있나 싶다.
세상에 털리지 않는 런타임은 없고, 결국 사람 손 거쳐서 만들어진 소프트웨어는 언젠가 불타게 되어 있나 보다.

1. Node.js 생태계까지 불타는 걸 보며

이번에도 어김없이 Node.js 생태계나 런타임 레벨에서 취약점 트래커가 번쩍거리는 걸 보고 있자니, 진짜 뒷통수가 또 촉촉해진다.
물론 엄밀히 말해 Node.js는 프로그래밍 언어 자체가 아니라 V8 엔진 기반의 런타임 환경이지만, 결국 그 거대한 생태계와 의존성 사슬 어딘가에 구멍이 뚫리면 하부 구조를 쓰는 입장에서는 당장 손쓸 도리가 없다.
앞서 PHP 사태 때 전 세계 서버 관리자들이 코드를 뜯어고칠 새도 없이 코어 단에서 털리며 발만 동동 구르며 공식 패치만 목이 빠져라 기다려야 했던 것처럼, 런타임과 플랫폼 레벨의 이슈는 개인이 방어하기엔 너무 거대한 재앙이다.
물론 내가 만든 SvelteKit Blog Engine(SKBE)은 순정 Node.js 서버 환경에서 직접 프로세스로 돌리는 구조가 아니다.
Cloudflare Pages의 nodejs_compat 위에서 V8 샌드박스로 격리되어 도니까 "응~ 털려봐야 샌드박스 안이야~" 하고 정신승리를 할 수는 있다.

2. 그럼 진짜 보안을 따지려면 어디로 가야 하나?(feat. Go나 Rust)

하지만 런타임 생태계 전체가 흔들리는 걸 보고 있노라면, 결국 내 손을 떠난 외부 의존성과 패치에만 운을 맡겨야 하는가 하는 근본적인 회의감이 밀려온다.
생각이 여기에 다다르니 결국 그런 고민이 든다.
진짜 보안과 성능, 그리고 메모리 안정을 극한으로 챙기려면... 결국 Node나 Python 같은 인터프리터·런타임 기반을 떠나서 Go나 Rust 같은 언어로 백엔드를 직접 커스터마이징해서 컴파일된 바이너리 서버로 구성해야 하는 거 아닌가?

• Rust: 컴파일 타임에 메모리 안전성을 강제해 버리니까 PHP나 C/C++ 계열에서 흔히 발생하는 메모리 오염/버퍼 오버플로우 계열 취약점 자체를 구조적으로 방어할 수 있다.

• Go: 가볍고 빠른 바이너리 하나로 깔끔하게 배포 가능하고, 무거운 런타임 레이어나 복잡한 의존성 사슬에서 오는 공격 표면을 엄청나게 줄일 수 있다.

필요한 기능만 딱 최소한으로 짜서 C/Go/Rust로 단일 실행 바이너리 만들고, 미니멀한 서버 환경에 올려두는 게 사실상 보안 관점에서는 외부 패치나 기다리지 않는 가장 확실한 '배산임수' 포지션이 아닐까 싶다.

3. 하지만 현실은...

...라고 머리로는 생각하지만, 막상 "그럼 지금 당장 블로그 엔진 Rust로 다시 만들 거냐?"라고 물어보면 조용히 딴짓을 하게 된다.
소형 블로그 엔진 하나 만드는데 Rust 소유권 트레이트랑 싸우고 있거나 Go로 Router/Middleware 바닥부터 짜고 있을 생각을 하면... 보안 챙기려다 내 수명이 먼저 깎일 것 같다.
물론 요즘은 온갖 강력한 코딩 도구들과 AI를 쓰면 마음만 먹으면 바닥부터 뚝딱 다시 만드는 게 아주 불가능한 일은 아니다.
막상 그렇게 도구 써가며 만들고 나서 배포나 유지 비용까지 따져보면, 차라리 각각의 개인이 자기 입맛에 맞게 직접 소스코드를 짜서 파편화된 구조로 운영하는 게 오히려 중앙집중형 서비스보다 가장 안전하고 이상적인 대안인가 싶기도 하다.
...하지만 한 번 더 생각해보면, 이렇게 개발 생태계의 바닥이 상향평준화되고 AI가 알아서 코드를 찍어내는 시대가 오면 개인이 블로그 엔진을 직접 깎고 앉아 있는 이 소소한 행위 자체도 결국엔 다 부질없고 무의미해지는 게 아닐까 싶기도 하고.
결국 지금의 SKBE 구조(CUD 로직 없음, Raw String 처리, 지정 IP 라우팅 격리, Edge 샌드박스 실행)가 '나의 게으름과 무지함'을 보호해 주는 가장 가성비 좋은 방어선이라는 결론으로 다시 돌아온다.

아무도 오지 않는 조용한 블로그에서, 오늘도 인터넷 세상의 불타는 소식을 보며 고요하게 샌드박스 안에서 평화를 누려본다.