Vercel 보안 현황 정리: 봇 방어, DoS 완화, 주요 인사이트

Vercel이 2025년 5월 보안 현황을 공개했다. 2월 이후 108만 개 이상 고유 IP에서 1,480억 건의 악성 요청을 차단했으며, 전분기 대비 70% 증가세를 보인다. Bot Protection 공개 베타, 복수 CVE 선제 패치, DoS 실시간 완화 개선을 포함한 종합 보안 업데이트다.

핵심 포인트

2월 이후 1,480억 건 악성 요청 차단, 고유 공격 IP가 전분기 대비 468% 급증했다.
DoS 완화 시스템이 전 세계 초당 55만 건 이벤트를 분석하며 중앙값 2.5초, P99 3.5초 이내 완화를 달성한다.
Bot Protection 공개 베타 시작 — 모든 사용자에게 무료로 비브라우저 트래픽 챌린지 기능을 제공한다.
React Router/Remix, SAMLStorm, Next.js 미들웨어 관련 다수 CVE를 선제 패치했다.
MFA/TOTP 지원, 커스텀 룰 OR 연산자, ASN·위치 메타데이터 IP 강화 기능이 추가됐다.

상세 정리

공격 규모: 2월 이후 1,480억 건 악성 요청을 108만 개 고유 IP에서 차단했다. 악성 요청 전분기 대비 70% 증가, 고유 공격 IP는 468% 급증했다.
공격 출처 상위 국가: 미국(550억), 아일랜드(290억), 싱가포르(70억), 홍콩(50억), 독일(30억) 순이다.
Bot Protection 베타: 새로운 Bot Filter가 공개 베타로 출시됐으며 모든 사용자에게 무료다. 비브라우저 트래픽에 챌린지를 부과하고 검증된 웹훅과 내부 작업은 로그-온리 미리보기 모드로 보존한다.
DoS 완화 성능: 전 세계에서 초당 55만 건 이벤트를 분석한다. 중앙값 완화 시간 2.5초, P99 3.5초를 달성한다.
CVE 패치 — React Router/Remix: CVE-2025-43864/43865, CVE-2025-31137 패치가 완료됐다.
CVE 패치 — SAMLStorm: 인증 우회 취약점 CVE-2025-29774/29775를 선제 대응했다.
CVE 패치 — Next.js: 미들웨어 관련 CVE-2025-29927, CVE-2025-30218을 패치했다.
신규 보안 기능: MFA/TOTP 지원 추가, 커스텀 룰에 OR 연산자 지원, IP 강화 데이터에 ASN 및 위치 메타데이터 포함, 프리뷰 도메인 시스템 우회 룰 확장이 이루어졌다.