애플, 실제 표적 공격에 쓰였을 가능성 있는 보안 취약점 긴급 수정

ByOPA MAGAZINE

애플(Apple)이 실제 표적 공격에 악용됐을 가능성이 있는 보안 취약점을 수정했다. 악의적으로 제작된 파일을 처리하는 과정에서 공격자가 임의의 코드를 실행할 수 있는 문제로, 애플은 2026년 9월 28일 iOS·iPadOS와 macOS의 보안 업데이트를 배포했다.

애플, 실제 표적 공격에 쓰였을 가능성 있는 보안 취약점 긴급 수정

애플이 아이폰과 아이패드, 맥 사용자를 위한 보안 업데이트를 공개했다.

이번에 수정된 취약점은 ‘CVE-2026-86950’으로, 애플 운영체제의 그래픽 처리 구성 요소인 CoreGraphics에서 발견됐다.

일반적인 기능 오류와 달리 이번 문제는 보안상 중요한 의미를 가진다. 특별히 조작된 파일을 시스템이 처리하는 과정에서 메모리 오류가 발생하고, 이를 공격자가 악용하면 원하지 않는 코드가 실행될 가능성이 있기 때문이다.

더욱 주목할 부분은 실제 공격에 사용됐을 가능성이다.

애플은 iOS 27 이전 버전을 사용하는 특정 개인들을 대상으로 매우 정교한 공격이 이루어졌으며, 이 과정에서 해당 취약점이 악용됐을 가능성이 있다는 보고를 인지하고 있다고 밝혔다.

다만 실제 공격을 수행한 주체나 피해 인원, 악성 파일의 전달 경로 등은 공개하지 않았다.

CoreGraphics는 어떤 기능을 담당할까

CoreGraphics는 애플 운영체제에서 그래픽 콘텐츠를 처리하는 핵심 프레임워크다.

화면에 글자와 도형을 표시하거나 이미지와 PDF 문서를 그리는 등 다양한 작업에 활용된다.

사용자가 사진이나 문서를 확인할 때 화면에 표시되는 내용을 처리하는 과정에서도 이러한 그래픽 기술이 사용될 수 있다.

문제는 파일이 겉으로 보기에는 평범하더라도 내부 데이터가 악의적으로 조작됐을 가능성이 있다는 점이다.

컴퓨터와 스마트폰은 파일을 화면에 표시하기 위해 내부 데이터를 해석해야 한다. 이 과정에서 예상하지 못한 값이 전달되거나 메모리를 잘못 사용하면 보안 문제가 발생할 수 있다.

이번 CoreGraphics 취약점도 이러한 메모리 처리 문제와 연결돼 있다.

애플이 공개한 보안 설명에 따르면 악의적으로 제작된 파일을 처리할 경우 임의 코드 실행으로 이어질 수 있었다.

여기서 중요한 것은 특정한 앱 하나만의 문제가 아니라 여러 앱에서 활용될 수 있는 시스템 구성 요소에 취약점이 존재했다는 사실이다.

따라서 사용자가 평소 어떤 앱을 사용하는지만으로 모든 위험을 판단하기는 어렵다.

메모리 범위를 벗어난 쓰기 오류란?

애플은 이번 문제를 ‘Out-of-Bounds Write’ 취약점으로 설명했다.

우리말로는 ‘메모리 범위를 벗어난 쓰기’라고 부른다.

프로그램은 데이터를 처리할 때 일정한 크기의 메모리 공간을 할당받는다. 정상적인 상황에서는 정해진 공간 안에서 데이터를 읽고 쓰도록 설계된다.

하지만 프로그램에 오류가 있으면 할당된 범위를 넘어 다른 메모리 영역에 데이터를 기록하는 문제가 발생할 수 있다.

이러한 상황에서는 프로그램이 비정상적으로 종료되거나 데이터가 손상될 수 있다. 경우에 따라 공격자가 메모리 상태를 의도적으로 변경해 악성 코드를 실행하는 데 이용할 가능성도 있다.

CVE-2026-86950은 이러한 유형에 해당한다.

애플은 메모리 범위를 검사하는 기능을 강화해 문제를 수정했다고 설명했다.

다만 취약점이 존재한다는 사실만으로 모든 기기에서 공격이 성공하거나, 파일을 처리하기만 하면 반드시 기기가 장악된다는 의미는 아니다.

실제 공격 성공 여부는 공격에 사용된 파일과 기기의 상태, 다른 보안 장치 등 여러 조건에 영향을 받을 수 있다.

보안 연구진이 확인한 악성 PDF의 위험

애플의 보안 공지가 공개된 이후 이번 취약점을 분석한 독립 보안 연구 결과도 등장했다.

2026년 9월 30일 보안 연구팀 Calif는 수정 전후의 CoreGraphics 코드를 비교해 취약점의 작동 원리를 분석한 결과를 발표했다.

연구진은 특별히 조작된 글꼴을 포함하는 PDF 문서가 취약한 코드를 실행하도록 유도할 수 있음을 확인했다.

PDF 문서 안에 포함된 글꼴을 화면에 그리는 과정에서 메모리 크기 계산에 문제가 발생할 수 있다는 것이다.

이 내용은 이번 취약점이 단순히 이미지 파일 하나에만 국한된 문제가 아니라 그래픽 콘텐츠를 처리하는 과정 전반과 관련돼 있음을 이해하는 데 도움이 된다.

다만 연구진이 실험을 통해 확인한 공격 경로와 실제 표적 공격에서 사용된 방법은 구분해야 한다.

현재 공개된 정보만으로 실제 공격자가 어떤 메신저나 이메일, 웹사이트를 통해 파일을 전달했는지 확정할 수는 없다.

또한 파일을 열지 않아도 공격이 성공했는지 역시 애플의 공식 발표만으로 단정할 수 없다.

중요한 것은 사용자가 인식하지 못하는 내부 파일 처리 과정에서도 취약점이 악용될 가능성이 있다는 점이다.

애플이 실제 공격 가능성을 언급한 이유

이번 보안 업데이트가 주목받은 가장 큰 이유는 애플이 실제 악용 가능성을 공식적으로 언급했다는 데 있다.

새로운 보안 취약점이 발견됐다고 해서 반드시 실제 공격에 이용된 것은 아니다.

일부 취약점은 연구나 내부 테스트 과정에서 발견돼 악용되기 전에 수정되기도 한다.

그러나 CVE-2026-86950은 상황이 다르다.

애플은 iOS 27 이전 버전을 사용하는 특정 개인들을 대상으로 한 고도화된 공격에서 해당 문제가 악용됐을 가능성이 있다는 보고를 받았다고 설명했다.

이처럼 수정 프로그램이 배포되기 전에 실제 공격에 사용된 취약점은 일반적으로 ‘제로데이(Zero-Day)’ 취약점으로 분류된다.

제로데이는 취약점이 공개되거나 수정되기 전에 공격자가 이를 이용할 수 있었던 상황을 설명하는 용어다.

특히 이번 사례에서는 불특정 다수를 겨냥한 공격보다 특정한 사람을 대상으로 한 정교한 공격이 언급됐다는 점이 특징이다.

하지만 애플은 피해자의 신원이나 공격 주체, 실제 피해 규모를 공개하지 않았다.

따라서 일반적인 아이폰 사용자 모두가 같은 공격을 받았다고 해석할 근거는 없다.

그럼에도 이미 보안 문제가 확인됐고 수정 업데이트가 제공된 만큼, 지원되는 운영체제의 최신 보안 업데이트를 적용하는 것이 중요하다.

어떤 아이폰과 아이패드가 업데이트 대상일까

애플은 2026년 9월 28일 iOS 26.7.1과 iPadOS 26.7.1을 배포했다.

해당 보안 업데이트의 지원 기기는 다음과 같다.

아이폰은 iPhone 11 및 이후 모델이 포함된다.

아이패드는 iPad Pro 12.9형 3세대 이후, iPad Pro 11형 1세대 이후, iPad Air 3세대 이후, iPad 8세대 이후, iPad mini 5세대 이후 모델이 대상이다.

다만 기기와 운영체제 버전에 따라 실제로 제공되는 업데이트는 다를 수 있다.

2026년 10월 현재 iOS 27과 iPadOS 27도 정식 출시된 상태이며, 애플은 9월 28일 iOS 27.0.1과 iPadOS 27.0.1을 추가로 배포했다.

애플이 확인한 악용 가능성은 iOS 27 이전 버전에서 보고됐다.

이것이 iOS 27 이후의 모든 기기가 어떠한 보안 문제에서도 완전히 안전하다는 의미는 아니다.

따라서 사용자는 특정한 버전 번호만을 확인하는 데 그치지 않고 자신의 기기에 제공되는 최신 보안 업데이트를 설치하는 것이 좋다.

맥 사용자도 업데이트가 필요하다

이번 취약점은 아이폰과 아이패드에서만 수정된 것이 아니다.

애플은 같은 날 macOS Tahoe 26.7.1과 macOS Sequoia 15.8.1도 배포했다.

두 운영체제의 보안 공지에는 CoreGraphics 취약점 CVE-2026-86950이 수정 항목으로 포함돼 있다.

이는 같은 그래픽 처리 구성 요소가 서로 다른 애플 운영체제에서 사용되고 있기 때문이다.

다만 애플이 언급한 실제 악용 가능성은 iOS 27 이전 버전의 특정 개인을 대상으로 한 공격에 관한 것이다.

맥에서도 같은 취약점에 대한 수정이 제공됐다는 사실과 맥 사용자에 대한 실제 공격이 확인됐다는 주장은 서로 다르다.

현재 공개된 애플 자료만으로 이번 공격이 macOS에서도 실제로 발생했다고 단정할 수는 없다.

그럼에도 취약한 코드가 존재한다면 악용 가능성을 줄이기 위해 보안 업데이트를 설치할 필요가 있다.

macOS Tahoe 또는 Sequoia를 사용하는 사람이라면 소프트웨어 업데이트에서 해당 수정 사항이 포함된 버전이나 이후 제공된 보안 업데이트를 확인하는 것이 좋다.

지금 사용자가 확인해야 할 것은?

이번 소식을 접한 아이폰과 아이패드 사용자가 먼저 확인해야 할 것은 현재 운영체제 버전이다.

기기에서 ‘설정 → 일반 → 정보’로 이동하면 설치된 iOS 또는 iPadOS 버전을 확인할 수 있다.

업데이트가 필요한 경우에는 ‘설정 → 일반 → 소프트웨어 업데이트’ 메뉴에서 사용 가능한 버전을 확인하고 설치하면 된다.

맥에서는 화면 왼쪽 위 애플 메뉴에서 ‘시스템 설정 → 일반 → 소프트웨어 업데이트’로 이동하면 된다.

업데이트를 진행할 때는 안정적인 인터넷 연결과 충분한 배터리를 확보하는 것이 좋다. 중요한 데이터가 있다면 미리 백업해 두는 것도 도움이 된다.

평소 자동 업데이트를 활성화해 두는 것도 하나의 방법이다.

또한 출처를 알 수 없는 파일이나 의심스러운 첨부파일을 주의하는 기본적인 보안 습관도 필요하다.

다만 이번 취약점처럼 파일을 처리하는 시스템 기능 자체에 문제가 있는 경우에는 사용자가 파일을 조심하는 것만으로 모든 위험을 막을 수 있다고 보장할 수 없다.

가장 중요한 대응은 애플이 제공하는 보안 수정 사항을 실제 기기에 적용하는 것이다.

이번 업데이트가 보여준 보안의 중요성

애플은 매년 새로운 운영체제를 발표하면서 사용자 인터페이스와 카메라, 인공지능 기능 등 다양한 변화를 소개한다.

새로운 기능은 눈에 쉽게 띄지만, 보안 업데이트의 변화는 사용자가 직접 체감하기 어려운 경우가 많다.

업데이트를 마친 뒤에도 화면 구성이나 앱의 사용 방법이 크게 달라지지 않을 수 있다.

그러나 보안 수정은 새로운 기능을 추가하는 것만큼 중요한 작업이다.

이번 CoreGraphics 취약점처럼 평소에는 정상적으로 작동하는 시스템 구성 요소에서도 문제가 발견될 수 있기 때문이다.

그런 문제가 악의적인 파일과 결합하면 사용자가 예상하지 못한 보안 위협으로 이어질 가능성이 생긴다.

이번 취약점을 애플에 신고한 곳은 Meta Product Security다.

애플은 해당 보안팀의 제보를 바탕으로 취약점 정보를 공개하고 수정 사항을 배포했다.

이러한 과정은 소프트웨어 보안이 제조사 내부의 관리만으로 완성되지 않으며, 외부 보안 연구와 취약점 신고를 통해서도 강화된다는 점을 보여준다.

2026년 9월 28일 배포된 이번 업데이트는 새로운 사용자 기능을 소개하는 발표가 아니었다.

그 대신 실제 표적 공격에 악용됐을 가능성이 있는 위험 요소를 수정하고, 지원되는 기기의 보안 상태를 개선하는 데 초점을 맞췄다.

이번 사건에서 중요한 사실은 모든 애플 기기가 이미 공격받았다는 것이 아니다. 실제 악용 가능성이 보고된 취약점이 확인됐으며, 이를 수정하는 보안 업데이트가 제공됐다는 점이다.

새로운 기능이 없어 보이는 업데이트라도 미루지 말아야 하는 이유가 여기에 있다.

출처 및 참고자료

RELATED STORIES