2026년 브라우저 밖 JavaScript 동향: Node.js 연 1회 릴리스 전환, Deno·Bun 인수, npm 공급망 공격 대응
2026년과 이후 JavaScript의 동향 - 브라우저 밖의 JavaScript
네이버 D2 연재 2편은 2019년 이후 7년간 브라우저 밖 JavaScript 생태계의 변화를 정리했다. Node.js는 연 1회 릴리스로 일정을 바꾸기로 했고, Deno와 Bun은 각각 Cloudflare와 Anthropic에 합류했다. 2019년 글에서 Node.js 12.13이던 최신 버전은 2026년 10월 기준 26.12로 메이저 버전이 열네 번 나왔다. 기사는 Node.js가 TypeScript 파일을 바로 실행하고, 테스트 러너와 SQLite, WebSocket 클라이언트를 내장하며, 권한 모델로 파일과 네트워크 접근을 제한한다고 소개한다. 패키지 생태계에서는 2020년 GitHub의 npm 인수 이후 2025년부터 chalk, debug 등 메인테이너 계정 탈취와 Shai-Hulud 웜 같은 공급망 공격이 주요 문제가 되었고, npm과 pnpm은 설치 스크립트를 기본으로 실행하지 않도록 바꾸었다. 2026년 10월 Deno 팀의 Cloudflare 합류로 Deno 런타임 개발은 1년간 보안 업데이트 후 종료되며, Deno Deploy는 6개월 뒤 종료된다. Bun 1.4와 pnpm 12는 2026년 8월 각각 Rust로 재작성되었고, npm 12는 2026년 7월 설치 스크립트 기본 미실행 정책을 도입했다.
Deno Deploy 종료 예정(6개월 뒤)과 npm 12의 설치 스크립트 기본 미실행 정책은 배포 환경과 의존성 설치 절차를 점검해야 하는 근거가 된다.
원문 출처
네이버 D2