구글 픽셀 모뎀 제로클릭 결함 CVE-2026-58704, 이미 표적 공격에 악용됐다

구글이 최신 픽셀 스마트폰의 셀룰러 모뎀에서 발견된 고위험 보안 취약점이 이미 실제 공격에 악용된 정황을 확인했다고 밝혔다. 이 취약점은 CVE-2026-58704로 추적되며, 공통취약점점수시스템(CVSS) 점수는 8.0이다. 구글은 최근 공개한 보안 권고에서 사용자의 클릭이나 파일 실행 없이도 공격이 성립하는 “제로클릭” 방식으로 이 결함이 제한적이고 표적화된 공격에 쓰였을 가능성이 있다고 인정했다. 미국 사이버보안·기반시설안보국(CISA)도 9월 16일(현지시각) 이 취약점을 알려진 악용 취약점(KEV) 목록에 올리고 연방 민간 행정기관에 9월 19일까지 패치를 마치라고 명령했다.

클릭 한 번 없이 뚫리는 “제로클릭” 모뎀 결함

이 취약점의 핵심은 셀룰러 모뎀 코드의 논리적 오류로 권한 검증을 우회할 수 있다는 점이다. 미국 국립취약점데이터베이스(NVD)는 “셀룰러 모뎀에서 코드 로직 오류로 인한 권한 우회가 가능하다”며 “추가 실행 권한 없이도 원격(근접) 권한 상승으로 이어질 수 있으며 공격에 사용자 개입이 필요하지 않다”고 설명했다.

테크크런치에 따르면 공격자가 이 결함을 악용하면 모뎀이라는 샌드박스(격리된 실행 공간) 경계를 넘어 휴대폰의 더 넓은 데이터 영역까지 접근할 수 있다. 이른바 권한 상승 공격이다. 피해자가 링크를 클릭하거나 파일을 열 필요조차 없이 공격이 성립하는 제로클릭 방식이라는 점에서 위험도가 높다.

구글 “제한적·표적형 공격 정황”…배후는 함구

구글은 보안 권고에서 “CVE-2026-58704가 제한적이고 표적화된 방식으로 악용되고 있을 수 있다는 정황이 있다”고만 밝혔다. 공격의 구체적 수법이나 공격자의 신원에 대해서는 추가 정보를 공개하지 않았다.

테크크런치가 논평을 요청했지만 구글 대변인은 답하지 않았다. 매체는 이런 유형의 결함이 스파이웨어 제조업체 같은 감시 기술 업체에 악용되는 경우가 드물지 않다고 짚었다. 이들 업체는 데이터를 탈취하는 소프트웨어에 대한 접근권을 정부나 법 집행기관에 판매하는 것으로 알려져 있다.

더 레지스터도 구글에 공격 범위와 수법에 대해 추가 설명을 요청했으나 “매우 제한적인 정보”만 받았다고 전했다. 매체는 이런 제로클릭 공격이 특정 개인을 감시하려는 상업용 스파이웨어 업체에 의해 자주 활용되는 방식이라고 설명했다.

CISA, 사흘 만에 연방기관 패치 명령

CISA는 9월 16일 이 취약점을 KEV 목록에 추가하며 “구글 픽셀 기기의 셀룰러 모뎀에 부적절한 권한 부여 취약점이 존재한다”고 밝혔다. 이어 “논리적 오류로 인해 공격자가 권한 검사를 우회하고 권한을 상승시킬 수 있다”고 설명했다.

CISA는 연방 민간 행정기관에 9월 19일까지 패치를 완료하라고 명령했다. 발표부터 마감까지 사흘 남짓밖에 주어지지 않았다. 기관은 “이런 유형의 취약점은 악의적 사이버 공격자들이 자주 사용하는 공격 경로이며 연방 조직에 상당한 위험을 초래한다”고 경고했다.

함께 패치된 나머지 109건…9월 업데이트 전체 규모

구글은 CVE-2026-58704와 별개로 9월 픽셀 보안 업데이트에서 109건의 다른 보안 결함도 함께 손봤다고 밝혔다. 이 취약점까지 합치면 이달 패치된 결함은 총 110건에 이른다. The Hacker News에 따르면 나머지 109건 가운데 권한 상승 가능 결함이 88건, 정보 노출이 10건, 원격 코드 실행이 9건, 서비스 거부(DoS)가 2건이다.

이 중에는 커널 구성요소의 고위험 권한 상승 결함 2건(CVE-2026-56914, CVE-2026-58773)도 포함됐다. 빅오션, 부트로더, IP 멀티미디어 서브시스템, 신뢰실행환경 등 다양한 픽셀 구성요소에서 발견된 46건의 치명적 등급 결함도 함께 패치됐다. 이들 결함은 권한 상승이나 원격 코드 실행으로 이어질 수 있다고 알려졌다.

2026-09-05 이후 보안 패치 레벨을 적용하면 이번에 확인된 모든 결함이 해결된다. 사용자는 설정 > 보안 및 개인정보 보호 > 시스템 및 업데이트 > 보안 업데이트 순서로 들어가 설치를 누르고 기기를 재시작하면 된다. 블리핑컴퓨터는 픽셀이 하드웨어를 직접 통제하는 구글의 독자 플랫폼이라는 특성 때문에 다른 안드로이드 제조사들과는 별도의 월간 보안 패치를 받는다고 설명했다.

반복되는 실제 악용…포상금 정책도 손질

사례는 픽셀·안드로이드에서 실제 악용이 확인된 결함이 처음이 아니다. 구글은 지난 6월에도 안드로이드 프레임워크 구성요소의 고위험 결함이 실제 공격에 쓰인 것을 확인하고 패치를 배포한 바 있다. 그보다 한 달 앞서는 안드로이드·크롬 취약점 신고 포상금 제도를 개편해, 인공지능으로 비교적 쉽게 찾아낼 수 있는 결함에 대한 보상은 줄이는 대신 일부 안드로이드 익스플로잇에는 최대 150만 달러(약 20억 4000만원, 1달러 1,360원 기준)의 포상금을 걸었다.

이런 조치들은 구글이 모바일 생태계를 겨냥한 정교한 공격에 대응하는 속도를 끌어올리려는 움직임으로 볼 수 있다. 다만 이번 모뎀 결함처럼 사용자 개입 없이 원격에서 조용히 악용되는 취약점은 패치가 나오기 전까지 탐지 자체가 어렵다. 픽셀 사용자는 기기가 최신 9월 보안 패치를 적용했는지 직접 확인하는 것이 현재로선 가장 확실한 방어 수단이다.