프로젝트 아카이빙 후 MinIO 지원

이 블로그 글의 AI 요약으로 바로 가기

2026년 2월 13일, MinIO Inc.는 커뮤니티를 아카이브화했습니다 minio 저장소. 이 프로젝트는 59,000개의 스타와 10억 건 이상의 Docker 풀을 돌파했습니다. 설치 기반은 쿠버네티스 오브젝트 스토리지, CI/CD 아티팩트 저장소, ML 모델 레지스트리, 온프레미스 데이터 레이크에 걸쳐 있습니다. 이 모든 것이 이제 더 이상 업스트림 보안 패치를 받지 않는 코드베이스에서 실행되고 있습니다.

자체 관리 서버에서 S3 호환 오브젝트 스토리지를 운영하기 위해 MinIO를 선택한 팀들의 경우, 이제 업스트림 지원이 중단된 상황에서 지속적인 MinIO 지원과 보안 유지 관리를 어디서 받을 수 있을지가 실질적인 고민거리입니다. 이 글에서는 어떤 변화가 있었는지, 현실적인 대안은 무엇인지, 그리고 TuxCare의 ‘Endless Lifecycle Support’가 어떤 역할을 하는지 살펴보겠습니다.

무엇이 바뀌었으며, 언제 바뀌었는가

이러한 변화는 약 15개월에 걸쳐 단계적으로 이루어졌다.

2025년 초, MinIO Inc.는 커뮤니티 에디션의 웹 콘솔에서 대부분의 관리 기능을 제거하고 기본적인 객체 브라우저만 남겨두었습니다. 전체 관리 기능은 회사의 상용 제품으로 이전되었습니다. 같은 시기에 사전 컴파일된 바이너리 릴리스는 점차 줄어들었고, 커뮤니티 에디션은 소스 코드 형태로만 제공되기 시작했습니다.

2025년 12월 3일, 회사는 커뮤니티 저장소를 유지보수 모드로 전환했습니다. 신규 기능 개발은 중단되었으며, 보안 패치는 정해진 일정에 따라 처리되지 않고 사례별로 대응되었습니다.

2026년 2월 13일, 이 저장소는 GitHub에 아카이브 처리되었습니다. 현재 이 저장소는 읽기 전용 상태이며, 새로운 커밋이나 풀 리퀘스트가 불가능하며, MinIO Inc. 측에서 커뮤니티 코드베이스에 대한 추가 보안 수정도 제공하지 않습니다. MinIO에 대한 공식 지원은 상업용 후속 제품인 AIStor로 완전히 이전되었습니다.

최신 커뮤니티 릴리스와 관련하여 CVE-2026-39414, CVE-2026-34204, GHSA-9c4q-hq6p-c237, GHSA-hv4r-mvr4-25vw 등 여러 CVE가 이미 공개되었습니다. MinIO Inc.는 AIStor에 이들 중 일부에 대한 수정 사항을 적용했으나, 기존 설치 기반이 실행 중인 아카이브된 커뮤니티 코드베이스에는 패치가 제공되지 않고 있습니다. 기존 배포 환경을 유지하고자 하는 팀에게 이는 명백한 MinIO 지원 공백입니다.

이것이 사업자들에게 왜 중요한가

실제 운영 환경에서 MinIO를 사용하는 모든 팀은 두 가지 압박 요인에 직면하게 됩니다.

첫 번째는 규정 준수 문제입니다. PCI DSS, HIPAA, SOC 2, FedRAMP 등은 모두 알려진 취약점에 대해 시정 기한을 규정하고 있는데, 일반적으로 심각도가 높은 취약점의 경우 30일 이내이며 때로는 그보다 더 짧기도 합니다. ‘사례별’ 상류 정책은 이미 이러한 기한을 맞추기에도 벅찬 상황이었습니다. 추가 수정 없이 방치된 저장소는 애초에 고려 대상조차 될 수 없습니다. 새로운 CVE가 등록되는 순간 감사 지적 사항이 쌓이기 시작하고, 기한 카운트다운도 시작됩니다.

두 번째는 ‘리스크 드리프트’입니다. 커뮤니티의 최신 릴리스 이후 공개되는 새로운 CVE가 하나씩 늘어날 때마다 내부적으로 보안 상태를 유지하기가 점점 더 어려워집니다. 보안 팀은 대응 수위를 높이고, 리스크 목록은 점점 더 길어집니다. 아무 조치도 취하지 않는 것에도 그 나름의 마감 기한이 있는데, 바로 다음에 예정된 감사 시점이 바로 그 기한이 됩니다.

현재 검토 중인 방안들

현재 MinIO를 운영 중인 업체들은 네 가지 현실적인 선택지를 가지고 있습니다.

옵션	비용	필요한 사항	상충 관계
이전 버전을 계속 사용하세요	$0	아무것도 없음	CVE 노출이 증가하고 있으며, 대부분의 규정 준수 체계 하에서는 실현 불가능하다
AIStor로 마이그레이션	보고된 바에 따르면, 사용 가능 용량 400 TiB 이하 기준 연간 약 96,000달러에 마이그레이션 비용이 추가됩니다.	제품 이전, 새로운 라이선스, 재교육	제품이 다르면 운영 모델도 다르다
OSS 대안으로 전환하기	엔지니어링 시간	데이터 전송, S3 호환성 검증, 재인증	대규모 프로젝트; 1대1 교체 외에 다른 대안이 없음
타사 유지보수 프로그램에 가입하세요	구독료	기존 MinIO를 계속 실행합니다	프로그램의 범위와 제공 방식에 따라 다릅니다

선정해 볼 만한 오픈소스 대안으로는 SeaweedFS, Garage, RustFS, Ceph RGW 등이 있습니다. 이들 모두 활발히 유지보수되고 있는 실제 프로젝트이며, MinIO와는 서로 다른 아키텍처 구조를 가지고 있습니다. 이 중 어느 것도 MinIO를 그대로 대체할 수 있는 솔루션은 아닙니다.

네 번째 옵션인 ‘타사 MinIO 지원’은 커뮤니티 코드베이스를 포크하여 지속적으로 패치를 적용하는 프로그램들을 포함합니다. 이러한 프로그램들의 지원 범위, 제공 방식, 그리고 약속 사항은 각기 다릅니다. TuxCare의 MinIO용 ‘Endless Lifecycle Support(ELS)’가 바로 그러한 프로그램 중 하나입니다. 이 글의 나머지 부분에서는 이 프로그램이 제공하는 내용과 다른 대안들과의 차이점을 살펴보겠습니다.

ELS for MinIO가 제공하는 기능

TuxCare의 MinIO를 위한 ‘Endless Lifecycle Support’는 고객이 기존에 운영 중인 MinIO 코드베이스를 계속 사용할 수 있도록 지원합니다. 패치는 바이너리 패키지(RPM, DEB, Go 바이너리) 형태로 제공되며, 런타임 아키텍처를 재구성할 필요 없이 기존 VM, 베어메탈 및 온프레미스 환경에 바로 적용할 수 있습니다.

각 구독에는 다음이 포함됩니다:

고객이 지원되는 릴리스를 필요로 하는 기간 동안 SLA에 기반한 신속한 CVE 대응
추가 비용 없이 직접적 의존성과 전이적 의존성을 모두 완벽하게 지원합니다
기존 배포 환경과의 호환성을 유지하는 것으로 검증된 업데이트
기존 워크플로우 및 CI/CD 파이프라인과의 플러그 앤 플레이 방식 통합
TuxCare에서 호스팅하는 저장소에서 제공하는 서명 및 변조 방지 업데이트
각 패치 릴리스에는 소프트웨어 부품 명세서(SBOM)가 함께 제공됩니다. MinIO는 벤더링된 종속성을 포함하는 Go 바이너리이므로, SBOM은 운영자와 감사 담당자에게 각 릴리스에 실제로 포함된 구성 요소에 대한 단일하고 신뢰할 수 있는 목록을 제공합니다.
VEX(Vulnerability Exploitability eXchange) 컨텍스트를 통해 SBOM에 포함된 CVE 중 이미 해결된 항목을 확인할 수 있으므로, 보안 팀은 아직 조치가 필요한 부분에 집중할 수 있습니다
CVE 분류, 맞춤형 패치 요청 및 문제 해결을 아우르는 연중무휴 전문 지원

패치는 TuxCare 엔지니어들이 관리하며, SLA에 기반한 주기로 배포됩니다. 고객은 검증된 코드베이스를 계속 사용하며, MinIO 지원은 해당 작업을 상업적으로 뒷받침하는 공급업체가 담당합니다.

ELS가 다른 MinIO 지원 옵션과 어떻게 다른가

ELS가 MinIO 유지 관리를 수행하는 방식은 다음 세 가지 특징으로 요약됩니다.

첫 번째는 배포 모델입니다. ELS는 바이너리 패키지 형태로 제공됩니다. 반면, 다른 유지보수 프로그램들은 강화된 컨테이너 이미지로만 제공되는데, 이는 쿠버네티스(Kubernetes) 기반 환경에 적합하지만, 가상 머신(VM), 베어 메탈 또는 온프레미스 환경에서 MinIO를 실행하는 배포 환경에는 맞지 않습니다. 컨테이너 외부에서 MinIO를 실행하는 고객은 배포 환경을 재설계하지 않고서는 컨테이너 전용 솔루션을 도입할 수 없습니다.
두 번째는 지원 범위입니다. ELS는 표준 구독의 일환으로 직접 의존성과 전이적 의존성 모두에 대한 수정 사항을 역포트(backport)해 드릴 것을 약속합니다. MinIO는 방대한 Go 의존성 트리를 포함하고 있으며, 이러한 벤더링된 의존성에 대한 CVE(보안 취약점)는 대개 상당한 규모의 역포트 작업을 필요로 합니다. 이러한 작업은 추가 비용이 발생하는 항목이 아닌, ELS의 표준 서비스 약속에 포함된 내용입니다.
세 번째는 배포 약속입니다. 패치는 공개된 SLA에 기반한 주기에 따라 제공되며, 대응 시간은 심각도에 따라 결정됩니다. PCI DSS, HIPAA, SOC 2, FedRAMP와 같은 규정 준수 프레임워크는 엄격한 시정 조치 기한을 설정하고 있으며, 운영자가 이를 준수할 수 있게 해주는 것은 바로 예측 가능한 배포 일정입니다.

이러한 특징은 특히 규정 준수 압박을 받는 환경에서 컨테이너 외부에서 MinIO를 운영하는 운영자에게 가장 중요합니다.