애플, 표적 공격 악용 가능성 있는 결함을 구형 아이폰XS·XR엔 한 달 늦게 패치했다

애플이 10월 26일(현지시각) 구형 아이폰과 아이패드용 보안 업데이트 iOS 18.7.11과 iPadOS 18.7.11을 내놨다. 특정 인물을 노린 정교한 공격에 쓰였을 수 있다고 애플이 밝힌 CoreGraphics 취약점(CVE-2026-86950)의 수정본을 최신 운영체제를 쓸 수 없는 기기에도 제공하는 업데이트다. 대상은 아이폰XS·아이폰XS 맥스·아이폰XR과 7세대 아이패드다.

최신 OS를 못 쓰는 기기까지 확대된 패치

말웨어바이트(Malwarebytes)에 따르면 애플은 이 결함을 iOS 26.7.1에서 먼저 고쳤다. 이번 업데이트는 그 수정본을 iOS 26을 구동할 수 없는 기기로 넓힌 것이다. 로스카나(Rescana)는 애플이 9월 28일 iOS·iPadOS 26.7.1, 맥OS 테이호 26.7.1, 맥OS 세쿼이아 15.8.1에서 같은 취약점을 처음 수정했다고 정리했다.

iOS 18.7.11은 ‘백포트(backport)’ 방식이다. 새 버전에서 만든 수정 사항을 이전 버전에 옮겨 적용하는 것을 뜻한다. 운영체제를 올릴 수 없는 구형 기기도 기존 iOS 18 계열에서 보호받게 하는 방식이다.

비트디펜더(Bitdefender)는 이 기기들이 최신 운영체제를 쓸 수 없는데도 여전히 쓰이고 있다고 짚었다. 걸프뉴스(Gulf News)는 기기가 출시된 지 몇 년 지났지만 보안 수정은 계속 받고 있다고 전했다. 애플은 같은 날 신형 기기용 업데이트도 따로 냈다. 비트디펜더는 iOS 27.2, iPadOS 27.2, 맥OS 골든게이트 27.2를, 걸프뉴스는 iOS 27.2와 iOS 26.7.2를 언급했다.

CVE-2026-86950, 어떤 결함인가

문제의 취약점은 애플 운영체제에서 그래픽과 이미지, PDF 콘텐츠를 그리는 프레임워크 코어그래픽스에 있다. 유형은 ‘범위 밖 쓰기’다. 소프트웨어가 자신에게 할당된 메모리 바깥에 데이터를 쓰는 오류를 말한다. 애플은 “악의적으로 조작된 파일을 처리하면 임의 코드 실행으로 이어질 수 있다”고 설명했다.

애플은 경계 검사를 개선하는 방식으로 문제를 해결했다. 로스카나에 따르면 미국 사이버보안·인프라보안국은 이 결함을 CWE-787(범위 밖 쓰기)로 분류했다. 취약점을 발견해 애플에 알린 곳은 메타 프로덕트 시큐리티다. 걸프뉴스도 같은 내용을 전했다.

심각도 점수는 8.8이다. 다만 출처에 따라 설명이 다르다. 비트디펜더는 이 결함이 CVSS 8.8을 받았다고 썼다. 로스카나는 애플이 CVSS 점수를 공개하지 않으며 미국 국가취약점데이터베이스에 올라 있는 유일한 점수가 CISA의 8.8(높음)이라고 밝혔다. 같은 곳은 벡터의 ‘UI:R’이 사용자가 조작된 파일을 여는 등 어떤 행동을 해야 한다는 뜻이라고 풀이했다.

‘극도로 정교한 공격’…알려진 것과 모르는 것

애플은 보안 공지에서 이 문제가 “iOS 27 이전 버전에서 특정 표적 개인을 겨냥한 극도로 정교한 공격에 악용됐을 수 있다는 보고를 인지하고 있다”고 밝혔다. 말웨어바이트는 이 표현을 애플이 제한된 사용자 집단을 노린 실제 공격에 쓰였다고 본다는 뜻으로 해석했다. 이런 공격의 표적은 보통 언론인·활동가·공직자라는 설명도 덧붙였다.

반대로 확인되지 않은 부분이 많다. 비트디펜더에 따르면 애플은 피해자도 공격 배후도 파일이 전달된 경로도 밝히지 않았다. 스파이웨어(감시 목적의 악성 프로그램)가 쓰였는지도 확인하지 않았다. 걸프뉴스는 애플 공지가 광범위한 악용의 증거를 담고 있지 않다고 전했다. 비트디펜더는 정황상 일반 아이폰 사용자를 겨냥한 대규모 캠페인보다 매우 선별적인 작전에 가깝다고 평가했다.

로스카나는 CISA가 이 취약점을 9월 29일 알려진 악용 취약점 목록에 올렸다고 전했다. 미국 연방 민간 기관의 조치 기한은 10월 13일로 정해졌다. 랜섬웨어 캠페인에서의 사용 여부는 ‘알 수 없음’으로 표시돼 있다. 로스카나는 CISA의 평가에서 악용 상태가 ‘활성’으로 기록돼 있다고도 적었다. 애플의 iOS 27, 27.2와 맥OS 골든게이트 27, 27.2 보안 노트에는 이 CVE가 없다고 밝혔다. 다만 해당 버전이 영향을 받았는지는 애플이 말하지 않았다고 선을 그었다.

함께 고쳐진 결함과 업데이트 방법

iOS 18.7.11과 iPadOS 18.7.11은 개인정보와 관련된 취약점 두 건도 함께 고쳤다. 비트디펜더에 따르면 CVE-2026-65339는 오디오 기능에 있는 결함으로, 앱이 민감한 사용자 정보에 접근할 수 있게 한다. CVE-2026-86990은 코어미디어에 있는 결함이다. 악성 앱이 사용자 허락 없이 카메라에 접근할 수 있다. 두 건 모두 실제 악용 사례는 보고되지 않았다.

업데이트는 설정 > 일반 > 소프트웨어 업데이트에서 할 수 있다. 말웨어바이트는 같은 화면에서 자동 업데이트를 켜 두라고 권했다. 걸프뉴스는 업데이트 중 중단을 막으려면 와이파이에 연결하고 배터리를 충분히 채워 두라고 안내했다.

맥 사용자는 애플 메뉴에서 시스템 설정 > 일반 > 소프트웨어 업데이트로 들어가면 된다. 사파리 업데이트는 맥OS 업데이트에 포함된다. 말웨어바이트는 고도화된 스파이웨어의 표적이 될 수 있다고 생각하는 사용자라면 업데이트 후 기기를 재시작하고 애플의 ‘잠금 모드’ 적용도 검토하라고 조언했다.

비트디펜더는 출처가 불분명한 파일·링크·첨부 파일을 조심하라고 당부했다. 이 취약점이 조작된 파일 처리로 악용될 수 있기 때문이다. 이 매체는 구형 기기가 새 운영체제가 받은 수정 이후에도 오랫동안 심각한 보안 결함에 노출될 수 있다고 지적했다. 구형 아이폰이나 아이패드를 쓰고 있다면 기기에 맞는 최신 업데이트를 바로 설치하라는 권고다.