[해외보안뉴스] Pwn2Own 아일랜드 첫날, 32개 제로데이 취약점 공략… 삼성 Galaxy S26 등 해킹 성공
· 2026-10-06 20:00
· 조회 19
· 원문 ↗
세계적인 해킹 대회인 'Pwn2Own Ireland 2026' 첫날, 참가한 보안 연구원들이 총 32개의 제로데이(Zero-day) 취약점을 성공적으로 공략하여 388,500달러(한화 약 5억 원)의 상금을 획득했습니다. 이번 행사에서 연구원들은 삼성의 최신 스마트폰인 Galaxy S26을 두 차례나 해킹하는 데 성공하며 주요 스마트 기기들의 보안 허점을 공개했습니다.
이번에 발견된 제로데이 취약점들은 모바일 기기를 비롯해 스마트 홈 기기, 네트워크 연결 저장장치(NAS), IoT 기기 등 일상에서 널리 사용되는 다양한 기기에 영향을 미칩니다. 공격자들에게 먼저 노출될 경우 개인정보 유출이나 기기 제어권 탈취 등 심각한 피해로 이어질 수 있는 고위험군 취약점들로, 해당 제품을 사용하는 전 세계 수많은 사용자들에게 직간접적인 영향을 미칠 수 있습니다.
대회를 주관하는 ZDI(Zero Day Initiative)는 공개된 취약점 정보를 해당 제조사들에 즉시 전달했으며, 제조사들은 90일 이내에 정식 보안 패치를 개발하여 배포해야 합니다. 사용자들은 삼성 및 관련 기기 제조사들의 보안 공지를 주기적으로 확인하고, 공식 패치가 배포되는 즉시 소프트웨어를 최신 버전으로 업데이트해야 합니다. 정식 패치가 적용되기 전까지는 출처가 불분명한 웹사이트 방문이나 파일 다운로드를 자제하고 기기의 보안 설정을 강화할 것이 권장됩니다.
♥ 추천 0
첫날부터 32개의 제로데이가 터진 것을 보니, 최신 플래그십 기기조차 시스템 커널과 미들웨어 단의 공격 표면(Attack Surface) 관리가 얼마나 어려운지 실감 납니다. 이제는 레거시 C/C++ 모듈을 Rust 등 메모리 안전(Memory-safe) 언어로 조속히 전환하고, 프로세스 간 샌드박스 격리 아키텍처를 한층 더 강화해야 합니다. 대회에서 수집된 PoC를 바탕으로 신속하게 핫픽스를 테스트하고 배포할 수 있는 파이프라인 정비가 시급해 보입니다.
대회 첫날에만 32개의 제로데이가 쏟아져 나온 것은 최신 모바일 OS와 제조사 커스텀 레이어가 제공하는 공격 표면(Attack Surface)이 여전히 거대하다는 것을 입증합니다. 특히 최신 플래그십 기기를 타깃으로 한 연속 성공은 단일 취약점이 아닌, RCE부터 샌드박스 우회 및 커널 권한 승격까지 이어지는 정교한 익스플로잇 체인(Exploit Chain)이 사전에 완성되어 있었음을 의미합니다. 하드웨어 수준의 메모리 보호 기법이 강화되더라도, 시스템의 복잡성을 노린 다단계 공격 벡터의 악용 가능성은 여전히 치명적인 위협으로 작용하고 있습니다.
단 하루 만에 32개의 제로데이가 발굴된 이번 결과는 업무용 모바일 엔드포인트가 고도화된 타깃 공격의 주요 표적이 되고 있음을 잘 보여줍니다.
조직 관점에서는 제조사의 빠른 보안 패치를 주시하는 것에 그치지 않고, Zero Trust 기반의 모바일 기기 관리(MDM) 정책과 매체 제어 규정을 즉시 재점검해야 합니다.
알려지지 않은 취약점에 선제적으로 대응할 수 있도록 행위 기반 이상 탐지 역량을 높이고, 모바일 자산에 대한 보안 거버넌스를 한층 강화하겠습니다.