요약

  • 10월 30일 스냅샷에서 EEF 공식 CVE 색인은 2026년 발행 기록 370건, 2025년 기록 9건을 담고 있었다. 공개 기록 수가 약 41배로 늘어난 것이며, 수정 건수나 AI가 찾아낸 취약점 수를 뜻하지 않는다.
  • RIPE 93에서 Alistair Woodman은 2026년 CVE가 500건을 넘을 것으로 예상했다. 발견 뒤 보고를 검토하고 코드를 고친 뒤 수정 사항을 확인하는 과정이 비용이 큰 일이라고 설명했다.

발견 수치는 치솟는다. 수정까지 걸린 시간은 공개되지 않는다.

2026년 10월 30일 08:59 UTC에 Erlang Ecosystem Foundation(EEF)의 기계 판독형 CVE 색인에는 2026년 발행 기록 370건과 2025년 기록 9건이 있었다. 공개된 기록만 보면 약 41배 증가다. 그러나 이 색인은 영향받은 패키지 중 몇 개가 검증된 수정을 내놓았는지, 관리자가 수정하는 데 얼마나 걸렸는지 보여주지 않는다.

Woodman은 사흘 전 RIPE 93 보안 워킹그룹에서 전망을 밝혔다. 그의 설명에 따르면 EEF가 다루는 범위에는 Elixir, Erlang, Gleam 패키지가 2만 개 넘게 포함된다. 정기적으로 쓰는 이용자는 약 10만 명, 재단이 파악한 기업 이용자는 최소 5천 곳으로 추산했다. 전년도 CVE는 약 10건이었고, 2026년에는 500건을 넘길 것으로 봤다. 그는 업무량이 50배 넘게 늘어날 전망이라고 말하면서, 취약점 자체는 이전부터 존재했고 AI 보조 분석이 발견을 쉽게 만들었다고 설명했다.

EEF는 CVE 번호 부여 기관(CNA)이다. 보안 워킹그룹은 범위에 포함된 프로젝트의 식별자를 발급하고 공개 절차를 조정한다. Woodman이 설명한 핵심 인력은 다섯 명이며, 이 가운데 두 명이 CVE 대응과 AI 연구 대부분을 맡는다. 도구가 문제를 찾아내도 관리자는 보고가 실제 결함을 가리키는지 판단하고, 코드를 고쳐 새 버전을 내고, 수정이 제대로 작동하는지 확인해야 한다.

기록 수가 보안 성과를 말해주지 못하는 지점이 여기다. Woodman은 EEF가 프로젝트별로 보고를 묶는 방식을 시험하고 있다고 했다. 새 취약점이 나올 때마다 관리자를 불러 세우는 대신, 한 프로젝트의 문제를 한 번에 처리할 시간을 잡는다. 발견 작업은 여러 사람에게 나눌 수 있지만, 수정은 해당 코드에 익숙한 사람에게 계속 달려 있다.

EEF의 공개 정책은 보고를 영업일 기준 2일 안에 접수 확인하고, 확인 뒤 2영업일 안에 내용을 평가한다고 정한다. CNA 범위에 드는 비공개 Hex 패키지 취약점은 관리자가 14일 안에 답하지 않으면 공개 절차를 진행한다고 밝힌다. 조정 공개는 최대 3개월까지 이어질 수 있다. 이 정책은 접수와 공개의 시계를 제시하지만, 취약점 발견부터 수정 버전 배포까지 걸리는 시간은 측정하지 않는다.

EEF 색인에는 CVE 번호, 제목, 상세 설명, 발행일과 갱신일이 기록된다. 공개 데이터에는 개별 기록별 관리자 응답, 수정 버전, 수정 검증 시간 정보가 없다. 보고와 검증된 배포판을 연결하는 공개 기록이 있어야 취약점 공개가 늘어나는 만큼 이용자의 노출 기간도 줄고 있는지 알 수 있다.

EEF 이사회 구성원인 Woodman은 생태계를 이용하는 기업에 보안 업무 후원을 요청했다. 수천 개 조직이 공개 패키지에서 가치를 얻는 동안 소수의 보안 담당자와 관리자에게 대응 비용이 쏠린다는 계산이다. CVE 공개는 경보다. 다음으로 필요한 숫자는 그 결함을 고친 버전까지 걸린 시간이다.

출처: RIPE 93 세션; 공식 녹취록; EEF의 CNA 안내, 범위, 보안 정책, CVE 색인; EEF 이사회.