HeroDevs, 애플리케이션 전반의 CVE 해결을 위한 ‘Evergreen’ 출시

2026년 11월 5일, 유타주 샌디 — 애플리케이션 계층에서 CVE 수정 및 상용 오픈소스 지원 분야의 선두주자인 HeroDevs가 오늘 ‘Evergreen’을 출시했다고 발표했다. 이번 출시 배경에는 최첨단 AI 모델들이 취약점 탐지를 빠르고 저렴하게 만들어, CVE 발생 건수가 엔지니어링 팀이 처리할 수 있는 범위를 넘어선 상황이 있기 때문입니다. 에버그린은 애플리케이션 전체에 걸쳐 오픈소스 종속성의 상태를 지속적으로 모니터링합니다. 더 이상 업스트림에서 수정되지 않는 종속성에 CVE가 발견되면, 에버그린은 조직이 Java, JavaScript 또는 .NET 를 사용하여 구축한 모든 애플리케이션에 대해 14일 SLA가 보장된 CVE가 없는 드롭인(drop-in) 대체 솔루션을 자동으로 제공합니다. 

대부분의 CVE는 버전 업그레이드를 통해 해결됩니다. 미해결 상태로 남아 가장 많은 엔지니어링 자원을 소모하는 CVE들은 대개 더 이상 업스트림에서 수정되지 않는 버전에 속해 있습니다. 이러한 CVE를 해결하려면 주요 업그레이드가 필요하거나 사내에서 직접 작성하고 유지 관리하는 패치가 필요하며, 이로 인해 엔지니어들이 제품 로드맵에서 손을 떼게 됩니다. 이 문제는 일시적인 것이 아니라 구조적인 문제입니다. Sonatype의 ‘2026년 소프트웨어 공급망 현황 보고서’에 따르면, 이미 알려진 CVE를 포함하고 있으면서도 업스트림 수정 경로가 없는 오픈소스 패키지 버전이 81,000개 이상인 것으로 나타났습니다. Evergreen을 사용하면 엔지니어링 팀은 대규모 업그레이드 없이도 CVE를 해결할 수 있습니다. CVE가 없는 드롭인 대체 버전이 팀의 기존 워크플로우 내에서 풀 리퀘스트 형태로 자동으로 제공되기 때문입니다. HeroDevs는 더 이상 업스트림 수정 사항을 제공받지 못하는 종속성의 모든 CVE에 패치를 적용합니다. 또한 새로운 CVE가 발생하면 HeroDevs는 드롭인 대체 버전에 지속적으로 패치를 적용하므로, 엔지니어링 팀은 애플리케이션 전체에 걸쳐 기존 환경을 유지한 채로 보안을 유지할 수 있습니다.

애플리케이션 보안(AppSec) 및 규정 준수 팀의 경우, 더 이상 업스트림 수정 패치를 제공받지 못하는 버전의 CVE는 미해결 상태로 남아 있는 발견 사항입니다. 이러한 미해결 발견 사항 하나하나가 운영 환경에서 지속되는 위험 요소이며, 애플리케이션 보안 팀은 이에 대한 책임을 지지만 자체적으로 해결할 수는 없습니다. 보안 스캐너는 지속적으로 CVE를 보고하며, Evergreen은 이를 보완하여 지원이 중단된 버전에 해당하는 발견 사항을 추적하고, 각 발견 사항을 해결하는 대체 솔루션을 제공합니다. 모든 수정 조치에는 VEX 진술서와 법적 확인서가 함께 제공되며, 이는 앱 보안 및 규정 준수 팀이 FedRAMP, PCI, SOC 2, HIPAA, CRA 등의 프레임워크에 대한 감사를 받을 때 감사관에게 제출할 수 있는 증거 자료가 됩니다. 

HeroDevs의 CEO인 아론 미첼(Aaron Mitchell)은 “AI 덕분에 취약점을 빠르고 저렴하게 찾아낼 수 있게 되었지만, 여전히 CVE 하나씩 차례로 해결하는 방식이 이어지고 있다”고 말했다. “그 접근 방식은 CVE가 팀이 따라잡을 수 있는 속도로 발생하던 시절에는 효과가 있었다. 하루에 260개 이상의 새로운 CVE가 발생하는 상황에서, 각 CVE를 개별적으로 처리하는 것은 엔지니어들을 로드맵에서 벗어나게 만드는 또 다른 프로젝트나 다름없습니다. 우리는 ‘Evergreen’을 새로운 전제 하에 구축했습니다. 즉, 고객은 한 번에 하나의 CVE가 아니라 애플리케이션 전체를 보호할 수 있어야 한다는 것입니다. 엔지니어링 팀의 입장에서 보면, 예전에는 새로운 프로젝트였던 작업이 이제는 검토하고 병합하기만 하면 되는 풀 리퀘스트로 바뀌게 됩니다.”

포춘 100대 기업 중 절반을 포함해 1,000개 이상의 조직이 이미 자사 애플리케이션이 의존하는 오픈소스 라이브러리의 CVE 수정 작업을 위해 HeroDevs를 활용하고 있습니다. 오늘 출시된 Evergreen은 개별 라이브러리에서 제공되던 CVE 수정 기능을 애플리케이션 의존성 트리 전체로 확장합니다. 모든 수정 조치는 널리 사용되는 프레임워크의 원본 유지 관리자를 포함한 오픈소스 유지 관리자들에 의해 검토 및 테스트를 거칩니다. 거의 모든 애플리케이션은 더 이상 업스트림에서 수정 패치를 제공받지 못하는 오픈소스를 실행하고 있으며, 에버그린을 통해 팀은 CVE로 인해 강제로 전환해야 하는 상황이 아니라, 스스로 결정한 시점에 해당 오픈소스에서 벗어나도록 마이그레이션할 수 있습니다. 엔지니어링 및 보안 팀은 애플리케이션의 오픈소스 의존성에 대한 무료 노출 보고서를 통해 시작할 수 있습니다. 

Evergreen이 오늘 출시되었습니다. Evergreen에 대해 더 자세히 알아보시려면 이 동영상을 시청하시거나, 데모 일정을 예약하려면 당사로 문의해 주십시오.  

‍

HeroDevs 소개

HeroDevs는 기업들이 의존하는 오픈소스 종속 라이브러리가 항상 안전하고 지속적으로 지원되도록 보장하는 분야의 선두주자입니다. HeroDevs는 AngularJS 부터 Spring , .NET 에 이르는 오픈소스 라이브러리를 대체할 수 있는 CVE가 없는 드롭인 대체 솔루션을 구축하여, 기업들이 취약점 및 규정 준수 요구 사항으로부터 보호받으면서도 자체 일정에 맞춰 마이그레이션을 계획할 수 있도록 지원합니다.