[해외보안뉴스] 애플, 실제 공격에 악용된 CoreGraphics 취약점 패치 구형 기기로 확대 적용
· 2026-10-27 18:00
· 조회 5
· 원문 ↗
애플(Apple)이 실제 사이버 공격에 악용되고 있던 고위험 보안 취약점에 대한 패치를 최신 OS를 지원하지 않는 구형 기기로 확대 적용(백포트)했습니다. 이번 조치는 구형 iPhone 및 iPad 사용자를 노린 제로데이 공격 피해를 방지하고 보안을 강화하기 위해 진행되었습니다.
해당 취약점은 CVE-2026-86950(CVSS 점수 8.8)으로 추적되며, 애플의 이미지 및 그래픽 처리 프레임워크인 CoreGraphics에서 발생하는 경계 바깥 쓰기(Out-of-bounds write) 결함입니다. 공격자가 악의적으로 제작된 파일이나 이미지를 사용자가 처리하도록 유도할 경우, 대상 기기에서 임의 코드를 실행(Arbitrary Code Execution)할 수 있는 위험성이 존재합니다.
애플은 지난달 최신 OS 버전용 보안 패치를 우선 배포했으나, 실제 현장 공격에 해당 취약점이 지속적으로 악용됨에 따라 지원 대상에서 제외되었던 구형 기기까지 보안 업데이트를 추가로 배포했습니다. 해당되는 구형 기기 사용자는 2차 피해를 예방하기 위해 설정 메뉴를 통해 즉시 시스템을 최신 버전으로 업데이트해야 합니다.
♥ 추천 0
CoreGraphics처럼 복잡한 바이너리 포맷을 다루는 로우레벨 그래픽 라이브러리는 항상 경계 영역을 벗어난 메모리 오염(OOB Write) 공격의 주요 표적이 됩니다.
파일 파싱 과정에서 발생하는 임의 코드 실행(ACE)을 막으려면 렌더링 성능 확보뿐만 아니라 철저한 입력값 검증과 파서 프로세스의 샌드박싱(Sandboxing) 격리가 필수적입니다.
구형 OS까지 백포팅될 정도로 치명적인 제로데이 이슈인 만큼, C/C++ 기반 로우레벨 모듈에 대한 퓨징(Fuzzing) 테스트와 메모리 안전성(Memory Safety) 중심의 재설계가 시급해 보입니다.
CoreGraphics의 메모리 경계 바깥 쓰기(OOB Write) 취약점은 조작된 이미지나 문서 파일 파싱만으로도 임의 코드를 실행할 수 있어, iMessage나 브라우저를 통한 제로클릭(Zero-click) 공격 벡터로 활용하기 매우 치명적입니다.
실제 공격(In-the-wild)에서 이미 악용된 만큼, 샌드박스 우회 및 권한 상승을 위한 복합 엑스플로잇 체인의 초기 침투(Initial Access) 단계에 적극 활용되었을 가능성이 높습니다.
애플이 구형 기기까지 빠르게 패치를 백포팅한 것은, 업데이트가 더딘 레거시 장비를 타깃으로 삼는 타깃형 스파이웨어 공격 그룹의 위협을 심각하게 인지했음을 보여줍니다.
실제 공격에 악용된 제로데이 취약점이 구형 기기까지 영향을 미친다는 점은 BYOD 및 레거시 모바일 자산이 기업의 주요 보안 리스크가 될 수 있음을 보여줍니다. 이에 따라 MDM(모바일 기기 관리) 정책을 즉시 가동하여 사내 자산에 접근하는 모든 기기의 패치 이행률을 엄격히 점검해야 합니다. 보안 업데이트가 불가능한 노후 디바이스에 대해서는 기업 데이터 접근 권한을 제한하거나 교체를 권고하는 거버넌스적 통제가 필수적입니다.