Next.js 보안 패치, 저장소 3개에 적용하며 정리한 절차

혼자 서비스 여러 개를 운영하면 의존성 보안 공지가 유난히 무겁게 느껴져요. 저장소가 3개면 같은 패치를 세 번 반복해야 하거든요. 혹시 "나중에 올려야지" 하고 미뤄둔 업데이트, 하나쯤 있지 않나요?

이번에 Next.js 16.3.3을 운영 중인 저장소 3곳에 직접 올려 봤어요. 인증 없이 원격 코드 실행이 가능한 취약점을 고친 버전이라 미룰 이유가 없었어요. 그 과정을 빌드로그로 남겨요.

왜 이번엔 바로 올렸나

평소엔 새 버전을 바로 따라가지 않는 편이에요. 급하게 올렸다가 깨지는 것보다 며칠 지켜보는 쪽이 안전할 때가 많아서요.

다만 '인증 없이'라는 말이 붙은 보안 수정은 예외로 둬요. 로그인 벽이 있어도 소용없다는 뜻이니까요. 특히 플랜씨(plan-c)는 로그인 없이 쓰는 무료 금융계산기라 이 문구가 남 일처럼 읽히지 않았어요.

절차는 4단계로 정리했어요

보안 공지 확인→버전 업그레이드→빌드 검증→저장소별 커밋

적용해 봤더니 순서 자체는 단순했어요. 공지에서 영향 범위를 확인하고, 패키지 버전을 올리고, 빌드와 타입 검사를 돌려 본 뒤 이상이 없으면 커밋해요.

핵심은 잠금 파일이었어요. 저장소마다 바뀐 파일은 package.json, pnpm-lock.yaml, pnpm-workspace.yaml 3개인데, 잠금 파일까지 한 커밋에 묶어야 어느 환경에서 받아도 같은 버전이 설치돼요.

반복하며 배운 것

농구 동호회 매니저 플랜비(plan-b), 금융계산기 플랜씨(plan-c), 그리고 법령·판례 검색을 월 3건 무료로 열어 둔 플랜엘(plan-l) 웹까지 세 저장소에 같은 절차를 반복했어요. 첫 저장소에서 명령 순서를 메모해 두니 남은 두 곳은 그대로 따라가면 됐고, 커밋 기록에도 세 저장소의 커밋이 같은 시각으로 남았어요.

반복해 보니 이런 작업은 손보다 절차 메모가 일을 해요. 저장소가 늘수록 메모 한 장의 값어치가 커져요.

• ✓잠금 파일까지 한 커밋
• ✓저장소마다 같은 절차 반복
• ✓검증 통과 후 커밋

마무리

보안 패치는 미루는 만큼 위험이 이자처럼 붙어요. 운영 중인 저장소가 2개 이상이라면, 다음 공지가 뜨기 전에 업그레이드 절차를 한 번 적어 보세요. 다음번엔 공지 확인부터 커밋까지 한결 가벼워질 거예요.