이 문서는 2026년 1월 24일 출시된 SonarQube Server 2026.1 LTA 릴리즈 노트의 주요 내용을 공유하기 위해 작성 되었습니다.


AI 개발의 진정한 속도를 경험해보세요.

2026.1 LTA 릴리스는 팀의 소프트웨어 개발 방식을 근본적으로 바꾸는 중요한 전환점입니다.

AI 생성 코드가 새로운 표준으로 자리 잡고, AI-Native IDE와 에이전트가 개발 라이프사이클 전반에 빠르게 확산되면서, 이제는 ‘일단 구현해 보고, 이후에 검증하는’ 방식이 개발의 새로운 기본으로 자리잡고 있습니다.


2026.1 LTA 릴리스는 사람이 작성한 코드, AI가 생성한 코드, 그리고 서드파티 코드를 하나의 고성능 검증 레이어로 통합해 분석하며, 이를 현대적인 개발자 워크플로에 깊이 있게 연결합니다.

소프트웨어 공급망 보안을 한층 강화하고, 안전하고 신뢰할 수 있는 시스템 구축을 위한 컴플라이언스 지원 범위를 넓혔으며, Python, Java, JavaScript/TypeScript 같은 주요 언어에서 획기적인 분석 속도를 제공합니다.

SonarQube Server 2026.1 LTA는 코드 품질을 지키면서도 엔지니어링 생산성을 자신 있게 끌어올릴 수 있도록 설계되었습니다.


AI와 에이전트 중심 SDLC를 위한 준비

AI와 에이전트 기반 코딩 어시스턴트는 강력한 생산성 도구입니다. 하지만 새로운 코드 품질 문제나 보안 위험을 막으려면, 그 결과물을 검증할 수 있는 체계가 함께 갖춰져야 합니다.


AI-Native IDE 연동

SonarQube는 이제 Claude Code, Cursor, Windsurf, Gemini와 연동되어, 정교한 코드 인텔리전스를 개발자의 일상적인 워크플로 안으로 직접 끌어옵니다. 이를 통해 개발 과정에서 발생하는 검증 병목을 효과적으로 줄일 수 있습니다.


SonarQube MCP Server

AI 에이전트가 SonarQube Server 인스턴스에서 코드 품질 및 보안 인사이트를 직접 조회할 수 있어, AI가 생성한 코드가 실제 운영 환경에 투입 가능한 수준인지 보다 확실하게 검증할 수 있습니다.


AI CodeFix (BYO LLM)

자체 Azure OpenAI 서비스를 활용해 AI CodeFix 제안을 생성할 수 있습니다. ‘Bring Your Own Model’ 방식으로 소스 코드를 외부로 내보내지 않고도, 엄격한 데이터 보호 및 지식재산권 요구사항을 충족할 수 있습니다.


IDE 내 AI CodeFix

문제를 발견하는 데서 그치지 않고 바로 수정까지 이어갈 수 있습니다. AI가 생성한 수정 제안이 VS Code와 IntelliJ에서 직접 제공되어, 개발자는 주 작업 환경을 벗어나지 않은 채 클릭 한 번으로 코드 품질 및 보안 이슈를 해결할 수 있습니다.



강화된 코드 보안

오늘날의 보안은 단순한 패턴 매칭을 넘어, 코드와 데이터 흐름을 맥락적으로 이해하는 수준까지 요구합니다. SonarQube는 애플리케이션 내부에서 데이터가 어떻게 이동하는지 깊이 있게 분석해, 다른 도구들이 놓치기 쉬운 보안 취약점까지 찾아냅니다.

고도화된 소프트웨어 공급망 보호

소프트웨어 공급망은 이제 사이버 공격의 새로운 주요 표적이 되고 있습니다. SonarQube는 모든 의존성을 안전하게 관리할 수 있도록 정적 코드 분석 도구를 폭넓게 제공합니다.


  • Advanced Security(SCA 및 SBOM)
    SCA(Software Composition Analysis)와 SBOM 취약점 탐지를 통해 소프트웨어 공급망을 선제적으로 보호할 수 있습니다. 이제 Java, Python, C#, C, C++, JavaScript, TypeScript, Go, Rust, Ruby, PHP를 포함한 폭넓은 언어에서 지원됩니다.


  • 악성 패키지 탐지(2026.1 릴리스의 신규 기능, Advanced Security에서 제공)
    정교해지는 공급망 공격으로부터 조직을 보호할 수 있습니다. SonarQube Advanced Security의 SCA 기능은 OpenSSF 데이터셋을 기반으로 악성 업스트림 오픈소스 패키지를 탐지하면 blocker 수준의 경고를 발생시켜,
    비밀정보 유출이나 데이터 침해가 실제 환경에 영향을 주기 전에 사전에 차단할 수 있도록 돕습니다.


  • C/C++용 SCA 정식 지원(2026.1 릴리스부터 정식 지원, Advanced Security에서 제공)
    심층적인 SCA 기능이 이제 C와 C++ 프로젝트까지 확대되었습니다. 이를 통해 성능이 중요한 환경에서 개발하는 팀도 다른 현대적 기술 스택과 마찬가지로 엄격한 수준에서 의존성 리스크를 관리할 수 있습니다.
    Conan과 vcpkg를 사용하는 개발자는 이제 자동화된 의존성 위험 피드백을 받을 수 있습니다.


  • IDE 내 SCA 지원(Advanced Security에서 제공)
    의존성 리스크 정보를 개발자 작업 환경 안에서 바로 확인할 수 있어, 도구를 오가야 하는 번거로움을 줄여줍니다.
    이제 Visual Studio, IntelliJ, VS Code 안에서 오픈소스 패키지의 취약점 및 라이선스 정보를 직접 확인할 수 있어, 코드를 작성하는 흐름 안에서 바로 대응할 수 있습니다.


  • SBOM Import(beta)(Advanced Security에서 제공)
    CycloneDX 및 SPDX 형식의 SBOM을 가져와 다양한 애플리케이션, 컨테이너, C/C++ 환경의 취약점을 보고할 수 있습니다.
    이를 통해 보다 범용적인 의존성 가시성을 확보할 수 있으며, 그동안 확인이 어려웠던 컨테이너 내부와 서드파티 구성 요소의 취약점까지 파악할 수 있습니다.


심층 애플리케이션 보안(SAST)

  • 개선된 고급 SAST(2026.1 릴리스의 신규 기능, Advanced Security에서 제공)
    Advanced SAST는 개발자들이 실제로 많이 사용하는 라이브러리를 중심으로 한층 더 정교하게 개선되었습니다. Java와 C#은 각 언어별 상위 1,000개 공개 라이브러리를 기준으로, Python은 상위 100개 라이브러리를 기준으로 분석 성능을 강화했습니다.
    이를 통해 대부분의 팀이 실제로 사용하는 라이브러리 환경에 맞춰, 더 정확하고 신뢰도 높은 보안 결과를 제공합니다.


  • 확장된 언어 보안 지원
    Go와 Kotlin에는 오염 분석을 포함한 전체 SAST를 지원하며, VB.NET에는 오염 분석이 추가되었습니다. 또한 Swift와 Dart에 대한 SAST도 새롭게 지원해, 모바일 개발자도 복잡한 데이터 흐름 기반 취약점을 더 효과적으로 식별할 수 있습니다.


  • 파이프라인 및 인프라 보안
    GitHub Actions와 Bash/Shell 스크립트에 대한 신규 분석 기능을 통해 CI/CD 파이프라인 환경까지 더욱 안전하게 보호할 수 있습니다.
    .sh 파일 내의 잘못된 설정, 안전하지 않은 파일 권한, 취약한 명령어 사용 등을 식별해 애플리케이션 코드뿐 아니라 배포 파이프라인 전반의 보안 수준을 높여줍니다.


  • 시크릿 탐지
    450개 이상의 개별 시크릿 패턴과 60개 이상의 클라우드 애플리케이션 지원을 바탕으로, 자격 증명 유출에 대해 높은 수준의 보호를 제공합니다. 이제 이러한 지원 범위는 YAML, JSON, CLI 파일까지 확대되었습니다.



신뢰할 수 있는 코드 품질과 유지보수성

코드 버그와 기술 부채를 유발하는 문제를 빠르게 줄이고, 개발자의 생산성을 높이세요. 2026.1 릴리스에는 코드의 의도와 구조를 더 정확하게 이해하는 한층 똑똑해진 분석 엔진이 적용되었습니다.

언어별 최적화

  • Python
    코루틴, 컴프리헨션, AWS Lambda 함수 최적화와 관련된 이슈를 찾아내 성능과 가독성을 더욱 높일 수 있습니다. 이제 병렬 분석이 적용되면서 Python 자동 리뷰의 분석 속도가 크게 향상되어, 피드백 주기도 눈에 띄게 짧아졌습니다.


  • Java
    고도화된 DBD(Dataflow Bug Detection) 엔진은 여러 함수 호출에 걸쳐 발생하는 null 역참조나 0으로 나누기 같은 복잡한 버그까지 처리할 수 있습니다. 
    또한 SonarQube는 Spring 프레임워크에서 자주 발생하는 실수와 성능 병목을 피하는 데 도움이 되는 이슈를 찾아냅니다.


  • JS/TS
    차세대 오 분석 엔진이 정확도와 속도를 모두 끌어올렸습니다. Angular와 접근성(a11y) 표준 관련 이슈를 더 잘 찾아낼 수 있으며, 대규모 프로젝트 분석에서는 최대 40%까지 속도가 향상됩니다.


  • Kotlin
    새로운 Kotlin 2.0 언어와 K2 컴파일러를 지원하며, Kotlin 분석 속도도 50% 향상되었습니다.


  • 더 빨라진 문제 해결(2026.1 릴리스 신규 기능)
    SonarQube for IDE에는 JavaScript와 TypeScript의 핵심 규칙을 위한 80개 이상의 새로운 QuickFix가 추가되었습니다.
    덕분에 한 번의 클릭만으로 이슈를 해결할 수 있으며, SonarQube IDE를 사용하는 개발자는 코드를 작성하는 흐름 안에서 실시간으로 문제를 바로 수정할 수 있습니다.



확장된 표준 준수 지원

규제가 엄격한 산업에서는 수작업으로 진행하는 컴플라이언스 점검이 큰 병목이 되곤 합니다. SonarQube는 근거 자료 수집을 자동화하고, 글로벌 안전 및 보안 표준에 대응할 수 있는 보고서를 제공합니다.

안전 필수 시스템

  • MISRA C++:2023
    SonarQube는 안전 필수 시스템을 위한 완전한 수준의 지원을 제공합니다. 이제 C++17 표준에 대한 MISRA C++:2023의 179개 가이드라인을 모두 적용할 수 있어, 자동차, 항공우주, 의료기기 소프트웨어에 필요한 개발 기준과 보호 장치를 제공합니다.


  • IDE 내 MISRA 지원
    VS Code, Visual Studio, IntelliJ/CLion에서 MISRA 탐지 결과를 직접 확인할 수 있어, 컴플라이언스 점검을 개발 초기 단계부터 반영할 수 있습니다. 이를 통해 미션 크리티컬 코드를 다루는 개발자는 코드 커밋 훨씬 이전부터 위반 사항을 실시간으로 확인할 수 있습니다.


현대적 보안 기준 지원

  • OWASP MASVS(2026.1 릴리스 신규 기능, Enterprise/Data Center 전용)
    모바일 개발자를 위해 설계된 기능으로, OWASP Mobile Application Security Verification Standard 기준에 따라 준수 여부를 평가해 모바일 앱이 현대적인 위협에 충분히 대응할 수 있도록 돕습니다.


  • OWASP Top 10 for LLM(2026.1 릴리스 신규 기능, Enterprise/Data Center 전용)
    프롬프트 인젝션, 안전하지 않은 출력 처리 등 코딩용 대규모 언어 모델과 관련된 가장 치명적인 10대 취약점에 대한 전용 보고서를 제공해, AI 기반 애플리케이션을 더욱 안전하게 보호할 수 있습니다.


  • 최신 산업 표준 반영
    CWE Top 25 2024, OWASP Mobile Top 10, STIG V6R3 기준에 대한 보고서를 통해 최신 산업 표준에 맞춘 컴플라이언스 대응을 지원합니다.


  • WCAG
    SonarQube는 WCAG 2.1 AA 및 2.2 AA 기준을 지원해, 접근성(a11y) 준수를 개발 후반의 병목이 아닌 초기 단계에서부터 점검할 수 있도록 돕습니다. 이를 통해 조직은 법적 리스크를 선제적으로 관리하고, 처음부터 더 포용적인 제품을 구축할 수 있습니다.



더 넓어진 언어 지원 범위

SonarQube는 지원 언어 범위를 지속적으로 확장하며, 기술 스택이 변화하더라도 그에 맞춰 코드 인텔리전스 플랫폼도 함께 발전할 수 있도록 돕습니다.


  • Rust 지원
    Rust에 대한 전체 분석 기능이 새롭게 추가되었으며, Clippy 린터와의 네이티브 연동도 함께 지원합니다. 이를 통해 팀은 Rust의 메모리 안전성 이점을 활용하면서도 SonarQube의 엄격한 코드 품질 기준을 그대로 유지할 수 있습니다.


  • 최신 언어 버전 지원
    이제 Java 22/23/24, Dart 3.8, Swift 5.9~6.2, Python 3.14까지 지원 범위가 확대되었습니다.


  • C# 14 및 .NET 10 완전 지원(2026.1 릴리스 신규 기능)
    field 키워드나 null 조건부 할당 같은 최신 언어 기능도 더욱 안심하고 도입할 수 있습니다. 또한 300개 이상의 규칙을 업데이트해 오탐을 줄였기 때문에, 불필요한 경고에 방해받지 않고 더 정확하고 실질적인 코드 인사이트를 얻을 수 있습니다.


  • AI/ML 및 데이터 과학 지원 강화
    PySpark와 PyTorch 지원을 통해 데이터 파이프라인의 신뢰성을 높일 수 있습니다. 이제 데이터 과학자는 PyCharm의 Jupyter Notebook 환경 안에서 직접 코드를 분석할 수 있습니다.


  • Apex 및 Ruby on Rails 지원 강화
    대규모 엔터프라이즈 Salesforce 환경(Apex)과 웹 애플리케이션(Ruby on Rails)에 대한 지원이 강화되어, 조직 전반에서 더 폭넓은 코드 커버리지를 확보할 수 있습니다.


  • 더 많은 신규 언어 지원
    지난 1년 동안 YAML, Bash/Shell, JSON, GitHub Actions 지원이 추가되어, CI/CD 파이프라인 전반에 걸쳐 코드를 더욱 효과적으로 관리할 수 있게 되었습니다.



더 깊어진 DevOps 통합

플랫폼 엔지니어링 팀에는 개발팀이 실제로 사용하는 업무 환경과 자연스럽게 연결되는 도구가 필요합니다.
SonarQube는 이제 복사·붙여넣기나 별도 스크립트 없이도 주요 협업 도구와 직접 연동되어, 품질과 보안 정보를 더욱 매끄럽게 공유할 수 있도록 지원합니다.


  • JFrog(2026.1 릴리스 신규 기능, Enterprise/Data Center 전용)
    SonarQube의 품질 및 보안 증빙 정보를 JFrog에 자동으로 전송해, 소프트웨어 패키지 감사 이력을 보다 효율적으로 관리할 수 있습니다.
    이를 통해 소프트웨어 검증의 단일 기준점을 확보하고, 감사로 인해 배포 파이프라인이 지연되거나 중단되는 상황을 줄일 수 있습니다.
  • Jira
    SonarQube 이슈를 Jira 티켓으로 직접 전송해, 코드 리뷰 단계에서 바로 작업 관리로 이어갈 수 있습니다.


  • Slack
    품질 게이트 상태를 실시간으로 Slack 채널에 전달해, 팀이 품질 현황을 빠르게 공유하고 함께 대응할 수 있도록 돕습니다.



더 안정적이고 효율적인 플랫폼 운영

  • 엔터프라이즈 인프라
    SonarQube Server는 이제 IPv6 전용 환경에서도 운영할 수 있어, 대규모 컨테이너 및 서버리스 워크로드까지 안정적으로 지원합니다.


  • 인앱 제품 소식
    제품 소식과 업데이트 알림을 SonarQube Server 화면 안에서 바로 확인할 수 있어, 팀원 모두가 최신 변경 사항을 놓치지 않고 빠르게 따라갈 수 있습니다.


  • 매끄러운 업데이트(Sandbox)
    많은 분들이 기다려온 기능이 드디어 추가되었습니다. 이제 SonarQube Server 버전을 업데이트할 때 품질 게이트 상태 변화에 대한 부담을 크게 줄일 수 있습니다.
    규칙 변경으로 인해 기존 코드에서 새롭게 감지된 이슈는 자동으로 샌드박스 처리되어, 업데이트 과정에서 품질 게이트에 즉시 영향을 주지 않도록 합니다.



업데이트 시 꼭 확인해야 할 새 단계: Sandbox 설정

2026.1 LTA로 업데이트할 때는 Sandbox 설정이 중요한 새 단계로 추가됩니다. Sandbox 기능을 활용하려면, 업데이트 후 첫 번째 분석을 실행하기 전에 관리자가 먼저 Sandbox를 활성화해야 합니다.
이를 통해 업데이트 과정에서 규칙 변경이 발생하더라도 품질 게이트에 바로 영향을 주지 않도록 할 수 있습니다.






  • 레이블 없음