프론트엔드 종속성을 강제로 업그레이드하지 않고도 EOL(지원 종료) React 버전의 보안을 유지하세요

아니요. React는 지원 종료(EOL) 일정을 공개하지 않으며, 장기 지원(LTS) 프로그램도 운영하지 않습니다. React 팀은 최신 릴리스에 대한 패치를 제공하며, 이전 주요 버전에 대한 수정 사항 제공은 조용히 중단됩니다. 따라서 미리 대비할 수 있는 공식 발표는 없습니다. 일반적으로 팀들은 CVE가 등록되었을 때 해당 버전이 더 이상 지원되지 않는다는 사실을 알게 됩니다. ELS는 지원이 종료된 React 버전들에 대해, 업스트림에서는 결코 제공되지 않았던 명확한 지원 수명 주기를 제공합니다.

추가적인 대응 조치가 없이는 불가능합니다. 2025년 12월의 사례가 이를 잘 보여줍니다. React2Shell(CVE-2025-55182)은 React Server Components의 인증 없는 원격 코드 실행 취약점으로, CVSS 점수 10.0을 기록했으며, 공개된 지 하루 만에 적극적으로 악용되기 시작했고, 이틀 뒤 CISA의 KEV 카탈로그에 등재되었습니다. 업스트림은 당일 지원 대상 버전에 대한 패치를 배포했습니다. 지원 기간이 만료된 버전에는 이러한 패치가 제공되지 않으므로, 유지보수가 중단된 React 버전의 경우 이와 유사한 취약점 공개는 영구적인 노출로 이어집니다.

React 15.6.2, 16.4.1 및 19.2.0(react-dom 및 React Server Components 패키지 포함). 요청 시 다른 버전도 제공 가능합니다.

아니요. 패치된 패키지는 TuxCare의 npm 레지스트리에서 @els-js/react 및 @els-js/react-dom으로 제공되며, package.json의 dependencies 및 overrides를 통해 별칭이 지정됩니다. TuxCare Patcher를 사용하면 이러한 편집을 자동으로 수행할 수 있습니다. 컴포넌트, 훅, 빌드 구성은 변경되지 않으며, 해당 패키지는 Docker와 호환됩니다.

네, 추가 비용 없이 가능합니다. React의 위험 요소 대부분은 최상위 수준 아래, 즉 번들러, 라우터 또는 UI 라이브러리 자체의 트리 내에 위치합니다. TuxCare는 취약한 구성 요소에 패치를 적용하고, 그 하류에 있는 모든 요소를 다시 빌드합니다.

TuxCare는 SLA에 따라 중요 및 고위험 CVE(CVSS 7.0+)의 경우 공개 후 14일 이내, 중위험의 경우 60일 이내, 저위험의 경우 90일 이내를 목표로 합니다. 각 릴리스에는 SBOM 및 CycloneDX VEX 데이터가 포함되어 제공되며, 수정 내역은 TuxCare CVE 트래커를 통해 공개적으로 추적됩니다.