줌 화면공유 주석 결함, 클릭 없이 상대 PC 장악 가능했다

화상회의 프로그램 줌(Zoom)의 화면공유 주석(어노테이션) 기능에서 발견된 취약점 3건이 뒤늦게 공개됐다. 화면을 공유하는 발표자가 시청자의 컴퓨터를 장악할 수 있었고, 반대로 시청자도 발표자의 컴퓨터를 장악할 수 있는 구조였다. 피해자에게 필요한 조건은 단 하나, 같은 회의에 들어와 있는 것뿐이었다. 클릭도, 다운로드도, 별도 승인 창도 필요 없었고 화면에는 아무 흔적도 남지 않았다. 취약점은 Windows·macOS·Linux·iOS·Android 등 줌이 지원하는 모든 플랫폼에 영향을 줬다.

이 취약점을 찾아낸 곳은 이스라엘에서 시작한 공격형 보안 스타트업 A Security다. The Hacker News(The Hacker News)에 따르면 이 회사는 공개적으로 누구나 쓸 수 있는 AI 모델을 활용해 20번이 안 되는 프롬프트만으로 취약점을 발견하고 실제 작동하는 공격 코드까지 만들어냈다고 밝혔다. 줌은 이미 6월과 7월에 각각 클라이언트 패치를 배포했고, 이번 공개는 그로부터 약 두 달이 지난 뒤에 이뤄졌다. 현재까지 실제 악용 사례는 보고되지 않았고, 세 취약점 모두 미국 사이버보안·기반시설보안국(CISA)의 알려진 악용 취약점(KEV) 목록에도 이름이 없다.

클릭 한 번 없이 뚫리는 화면공유 주석 기능

문제가 된 것은 화면공유 중 참가자들이 그림을 그리거나 글자를 입력할 수 있게 해주는 주석 도구다. The Hacker News에 따르면 그림 데이터는 이미지 그대로 전송되지 않는다. 클라이언트가 이를 구조화된 객체로 바꿔 개수와 데이터를 이어붙인 형태로 보내고, 수신 측은 그 개수 값을 그대로 신뢰해 얼마나 읽어야 할지 결정한다.

이 신뢰 구조가 문제였다. 취약점 중 하나는 고정된 128바이트 버퍼에 데이터가 실제로 들어맞는지 확인하지 않고 채워 넣었다. 이 필드가 객체의 맨 마지막 항목이었던 탓에 개수 값이 부풀려지면 버퍼 끝을 넘어 반환 주소(return address)까지 덮어쓸 수 있었다. 이 결함은 CVE-2026-53413(CVSS 점수 8.3)으로 등록됐고, 버퍼 오버라이트(over-write) 유형이다. 함께 공개된 CVE-2026-53414(CVSS 6.5)는 버퍼 오버리드(over-read), CVE-2026-53415(CVSS 8.3)는 use-after-free(해제된 메모리 재사용) 취약점이다.

더 심각한 지점은 하나의 잘못된 그림이 회의실 전체에 퍼질 수 있었다는 점이다. 보고서에 따르면 시청자마다 발표자로 연결되는 채널이 있고, 발표자에게는 확인 응답만 받는 별도 채널이 있다. 그런데 수신 측 처리기는 메시지에 붙은 유형 번호만 보고 어느 자리에서 온 메시지인지 확인하지 않은 채 해당 처리기로 넘겼다. 0x10001은 객체 데이터, 0x10002는 “받았다”는 확인 응답을 뜻하는데, 확인 응답이 와야 할 자리에 객체 데이터를 보내면 상대 클라이언트가 그 객체를 그대로 완전히 재구성해버리는 구조였다.

발견부터 실전 공격까지 하루가 걸리지 않았다

A Security는 지난 6월 스텔스 모드를 벗고 3,700만 달러(약 523억원, 1달러 1,413원 기준) 규모의 투자를 유치하며 등장한 회사다. 나인투파이브맥(9to5Mac)이 인용한 와이어드(Wired) 보도에 따르면 이 회사의 공동창업자 오머 굴(Omer Gull)은 “예전 같으면 5명으로 구성된 팀이 반복적인 조율을 거쳐 6개월은 걸렸을 작업”이라며 “지금은 20번이 안 되는 프롬프트로 같은 결과에 도달할 수 있다”고 말했다. 그는 “줌은 중요한 표적인데, 사람들이 이 프로그램을 쓸 때 신뢰를 전제하기 때문”이라며 “줌을 위협으로 인식하지 않는다”고 덧붙였다.

The Hacker News에 따르면 실제 작업 과정은 매끄럽지 않았다. AI가 자동으로 자바 계층에서 접근 가능한 함수들의 위험도를 매긴 첫 시도에서는 70개 라이브러리, 3,762개 함수로 이뤄진 목록이 나왔는데, 정작 취약한 라이브러리는 45위로 낮게 평가돼 완전히 놓칠 뻔했다. 이 라이브러리는 연구진이 실제 통화 화면을 기능별로 하나씩 추적하는 과정에서 뒤늦게 드러났다. A Security의 이단 레브코비치(Idan Levcovich)는 “이런 유형의 공격 코드를 만드는 진입장벽이 무너졌고, 다시는 예전으로 돌아가지 않을 것”이라고 썼다.

줌과 보안업체, 위험도 평가부터 엇갈렸다

줌과 A Security의 시각차는 여러 지점에서 드러났다. A Security는 세 취약점 모두 CVSS 4.0 기준 9.0점에 해당한다고 주장했지만 이 점수는 줌이 발표한 어떤 보안 권고(ZSB-26015, ZSB-26016, ZSB-26017)에도 등장하지 않는다. 줌은 CVE 기록을 자체 발급하며, NIST가 이를 일상적으로 재평가하지 않는 구조여서 결국 더 낮은 줌 측 점수가 그대로 유지될 가능성이 크다. 게다가 줌이 매긴 세 벡터 모두 “사용자 상호작용 필요”로 표시돼 있는데, 이는 클릭 없이도 뚫린다는 이번 발견의 핵심 주장과 정면으로 어긋난다.

가장 크게 갈리는 부분은 버퍼 오버리드(CVE-2026-53414) 쪽이다. A Security는 이 결함으로 피해자 클라이언트의 초기화되지 않은 힙 메모리를 읽어낼 수 있었고, 그 안에는 실행 중인 코드와 vtable 포인터, 즉 주소 무작위화(address randomization) 방어를 우회하는 데 필요한 정보가 담겨 있었다고 주장한다. 반면 줌의 권고문은 같은 결함이 “서비스 거부(denial of service)”를 유발할 수 있다고만 적었고, 기밀성 영향은 “없음”으로 매겼다. 공로 표시도 엇갈린다. 두 건의 보안 권고는 A Security의 이단 레브코비치를 발견자로 명시했지만, use-after-free 취약점 권고는 줌 내부 보안팀인 ‘줌 오펜시브 시큐리티(Zoom Offensive Security)’에 공로를 돌렸다. 이 팀은 지난 7월 줌이 패치한 CVSS 9.8점짜리 계정 탈취 취약점을 발견한 팀과 같은 조직이다. A Security 역시 세 취약점을 모두 자사의 성과로 소개하면서도, 그중 세 번째는 자신들이 신고하기 전 줌이 이미 인지하고 서버 쪽에서 걸러내고 있었다는 점은 인정했다.

이용자가 할 일과 AI 보안 논쟁으로 이어진 파급

이번 취약점의 영향을 받는 버전은 구체적이다. 줌 워크플레이스(Zoom Workplace)는 모든 지원 플랫폼에서 각 브랜치 기준 7.1.5, 7.0.6 이전 버전, 윈도용 줌 워크플레이스 VDI 클라이언트는 7.0.11, 6.6.16 이전 버전, 줌 룸스(Zoom Rooms)와 줌 미팅 SDK는 모든 플랫폼에서 7.1.0 이전 버전(세 번째 결함은 7.1.5 이전 버전)이 대상이다. 안드로이드 오소리티(Android Authority)는 문제의 코드가 줌 프로그램 전반에 자동으로 화면공유 그림·텍스트 데이터를 처리하는 상시 구동 구성요소인 라이브러리 파일(libannotate.so)에 있었고, 같은 바이너리 소스가 모든 네이티브 줌 워크플레이스 앱에 그대로 컴파일돼 들어가기 때문에 Windows·macOS·Linux·iOS·Android가 똑같이 노출됐다고 설명했다. 같은 매체는 만약 실제로 악용됐다면 공격자가 시스템 메모리를 조작하고 개인 데이터를 빼내거나 카메라·마이크를 몰래 켜고, 탐지되지 않은 채 추가 악성코드를 심을 수도 있었을 것이라고 짚었다. 이용자가 할 수 있는 조치는 사실상 하나, 줌 앱을 최신 버전으로 업데이트하는 것이다.

이번 사안은 AI를 이용한 취약점 발굴 논쟁과도 맞물린다. The Hacker News에 따르면 이번 공개는 오픈AI가 데이브레이크(Daybreak) 프로그램을 둘로 나눠 GPT-5.6-Cyber를 검증된 파트너에게만 제공하기로 한 지 하루 뒤에 나왔다. 오픈AI는 이 정도 능력은 접근을 제한해야 한다는 입장이다. 반면 A Security는 자신들의 결과가 누구나 쓸 수 있는 공개 모델에서 나왔다고 강조한다. 오픈AI 자체 측정에 따르면 안전장치가 걸린 일반 공개 모델은 고난도 공격형 보안 프롬프트의 1.5%에만 제대로 답했지만, 제한적으로 배포된 모델은 95%에 답했다. 안드로이드 오소리티는 구글도 이미 AI 에이전트를 동원해 크롬 브라우저의 취약점을 찾고 대응하는 데 쓰고 있다고 전하며, 방어와 공격 양쪽 모두에서 AI의 영향력이 빠르게 커지고 있다고 짚었다.