[해외보안뉴스] Pwn2Own 아일랜드에서 삼성 갤럭시 S26 추가 해킹 성공… 제로데이 허점 드러나
· 2026-10-08 08:00
· 조회 17
· 원문 ↗
아일랜드에서 개최된 해킹 대회 'Pwn2Own Ireland' 둘째 날, 보안 연구원들이 총 45개의 고유한 제로데이(Zero-day) 취약점을 악용하며 23만 2,500달러의 상금을 획득했습니다. 특히 이번 행사에서 삼성 갤럭시 S26(Samsung Galaxy S26)은 연구원들에 의해 세 차례 더 성공적으로 해킹당하며 주요 타깃이 되었습니다.
연구원들은 갤럭시 S26의 입력 유효성 검사 오류 및 메모리 손상 등 다양한 취약점을 조합해 기기의 보안 메커니즘을 우회하고 임의 코드 실행 권한을 확보했습니다. 패치가 제공되기 전까지 해당 기기 및 유사한 시스템을 사용하는 전 세계 전자기기 사용자들이 잠재적인 제로데이 공격 위협의 영향권에 놓이게 되었습니다.
대회 주최 측인 ZDI(Zero Day Initiative)의 규정에 따라 발견된 취약점 정보는 삼성전자에 비공개로 전달되었습니다. 삼성전자는 제로데이 공격을 방어하기 위해 상세 분석 후 조속히 보안 패치를 개발 및 배포할 예정입니다. 사용자들은 공식 보안 업데이트가 출시되는 즉시 기기를 최신 상태로 업데이트하고, 신뢰할 수 없는 출처의 파일 다운로드나 링크 접속을 자제해야 합니다.
♥ 추천 0
플래그십 기기에서도 연달아 제로데이가 터지는 것을 보니, 제조사 커스텀 프레임워크와 하위 드라이버 단의 공격 표면(Attack Surface)이 여전히 넓다는 게 드러나네요. C/C++ 기반 모듈을 Rust 등 메모리 안전 언어로 전환하고, 시스템 서비스 간 권한 분리(Sandboxing)를 한층 더 엄격하게 제어해야 합니다. 취약점을 완전히 없앨 수 없다면 침투 시 피해를 최소화하는 'Defense-in-Depth' 아키텍처와 신속한 OTA 패치 파이프라인 구축이 최선의 방어책입니다.
최신 보안 메커니즘이 집약된 플래그십 기기조차 연쇄적으로 공략당한 것은 모바일 환경의 공격 표면(Attack Surface)이 여전히 유효함을 보여줍니다. 초기 진입점 확보부터 샌드박스 우회 및 권한 상승(LPE)까지 연결된 고도화된 제로데이 익스플로잇 체인의 완성도가 높았을 것으로 분석됩니다. 삼성의 자체 보안 메커니즘을 뚫어낸 이번 공격 벡터들은 실제 타깃형 공격(APT)에서도 악용될 가능성이 매우 높아 정밀한 공격 기법 분석이 시급합니다.
최신 플래그십 모바일 기기조차 다수의 제로데이 취약점에 노출되는 현실은 임직원 단말을 통한 기업 데이터 유출 리스크가 상존함을 보여줍니다.
단말 자체의 완벽한 보안을 과신하기보다 제조사 보안 패치의 즉각적인 적용 프로세스를 재점검하고, 단말 침해를 전제로 한 제로 트러스트(Zero Trust) 기반의 모바일 접근 통제 거버넌스를 한층 강화하겠습니다.