애플, 보안 업데이트 11종 배포…구형 아이폰에도 악용된 취약점 패치

구형 아이폰 표적 공격 막는 보안 패치

애플은 2026년 10월 26일 보안 업데이트 11종을 배포했다. 여기에는 아이폰 XS, 아이폰 XS Max, 아이폰 XR과 7세대 아이패드에 영향을 주는 그래픽 처리 취약점 패치가 포함됐다. 최신 아이폰과 아이패드, 맥, 애플워치, 애플TV, 비전 프로 헤드셋, 사파리의 취약점 수백 건도 함께 해결했다.

해당 구형 기기 사용자에게 가장 시급한 업데이트는 iOS 18.7.11과 iPadOS 18.7.11이다. 두 업데이트는 애플이 iOS 27 이전 버전을 사용하는 사람들을 대상으로 한 고도로 표적화된 공격에 악용됐을 가능성이 있다고 밝힌 CoreGraphics 취약점 CVE-2026-86950을 수정한다. 특수하게 조작된 파일을 처리할 경우 공격자가 취약한 기기에서 코드를 실행할 수 있다.

애플은 9월 28일 이미 여러 최신 운영체제 버전에서 해당 취약점을 수정했다. 10월 업데이트는 백포팅이라는 절차를 통해 구형 하드웨어까지 보호 범위를 넓혔다. 백포팅은 최신 운영체제로 옮기도록 요구하는 대신 이전 소프트웨어 버전에 보안 패치를 적용하는 방식이다.

별도의 보안 대응은 인도 인증기관 eMudhra의 인증서 유출 문제와 관련이 있다. 애플은 사파리, 메일 및 자체 네트워킹·보안 프레임워크를 사용하는 앱에서 영향을 받은 웹 인증서를 자동으로 차단했다. 다만 다른 파일을 사용해 신뢰할 인증서를 판단하는 일부 맥 명령줄 도구는 별도의 조치가 필요하다.

애플이 배포한 업데이트와 취약점 수

애플의 보안 업데이트 목록에 따르면 11개 업데이트의 배포일은 모두 10월 26일이다. 업데이트는 아이폰·아이패드 소프트웨어 3개 세대, 맥 운영체제 3종, 애플TV 소프트웨어 2개 계열, watchOS, visionOS, 사파리를 대상으로 한다.

공개된 취약점 수는 다음과 같다.

• iOS 27.2 및 iPadOS 27.2: 163건.
• iOS 26.7.2 및 iPadOS 26.7.2: 134건.
• iOS 18.7.11 및 iPadOS 18.7.11: 3건.
• macOS Golden Gate 27.2: 263건.
• macOS Tahoe 26.7.2: 213건.
• macOS Sequoia 15.8.2: 197건.
• tvOS 27.2: 72건.
• watchOS 27.2: 62건.
• visionOS 27.2: 125건.
• Safari 27.2: 33건.
• tvOS 26.6.1: 공개된 CVE 항목 없음.

각 업데이트의 취약점 목록을 합하면 총 1,265건이며, 서로 다른 취약점은 최소 329개다. 애플 제품은 소프트웨어 구성 요소를 공유하기 때문에 같은 취약점이 여러 업데이트에 포함될 수 있다. iOS와 macOS 27.2만 보면 취약점 목록은 163건과 263건으로 총 426건이며, 이 가운데 약 140건이 두 운영체제에 공통으로 포함돼 서로 다른 취약점은 286개다.

CoreGraphics 패치가 중요한 이유

CoreGraphics는 텍스트를 그리거나 이미지를 표시하는 등의 작업을 처리한다. CVE-2026-86950은 범위를 벗어난 쓰기(out-of-bounds write) 취약점이다. 소프트웨어가 할당된 메모리 영역 밖에 정보를 기록할 수 있다는 뜻이다. 공격자는 이 오류를 악용해 프로그램을 교란하거나 자신이 선택한 명령을 실행하게 할 수 있다.

이 취약점은 Meta Product Security가 발견했다. 영향을 받는 운영체제를 담당하는 애플은 보안 공지에서 공격 악용 가능성을 다음과 같이 설명했다.

애플은 iOS 27 이전 버전에서 특정 표적을 겨냥한 매우 정교한 공격에 이 문제가 악용됐을 가능성이 있다는 보고를 받았습니다.

애플은 기술적 영향과 패치에 대해서도 다음과 같이 설명했다.

악의적으로 조작된 파일을 처리하면 임의 코드 실행으로 이어질 수 있습니다. 범위 검사 기능을 강화해 범위를 벗어난 쓰기 문제를 해결했습니다.

범위 검사는 프로그램이 할당된 메모리 공간 안에서만 작동하는지 확인하는 절차다. 공격자들이 패치가 나오기 전에 이 취약점을 이용했기 때문에 제로데이 취약점으로 분류됐다. 애플은 10월 업데이트에서 다룬 다른 취약점은 악용된 사례가 확인되지 않았다고 밝혔다.

패치는 몇 주에 걸쳐 서로 다른 소프트웨어 계열에 적용됐다.

• 9월 28일: 애플은 iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1, macOS Sequoia 15.8.1에서 패치를 배포했다.
• 9월 29일: 미국 당국은 CVE-2026-86950을 알려진 악용 취약점 목록에 추가했다.
• 10월 26일: iOS 18.7.11과 iPadOS 18.7.11을 통해 애플이 지정한 구형 기기에도 패치가 적용됐다.

9월과 10월 업데이트 배포일은 28일 차이다. 아이폰 XS, XS Max, XR 또는 7세대 아이패드 사용자는 해당 기기에 제공되는 업데이트를 설치하는 것이 실질적인 대응 방법이다. 애플은 표적이 된 사람을 공개하거나 악성 파일이 어떤 경로로 전달됐는지 설명하지 않았다.

구형 기기 보호하는 패치 3건

iOS 18.7.11과 iPadOS 18.7.11에는 CoreGraphics 패치를 포함해 모두 3건의 수정 사항이 들어 있다. 나머지 두 건은 민감한 데이터 노출과 허가되지 않은 카메라 접근을 막는다.

CVE-2026-65339는 Audio 프레임워크에 영향을 주며 민감한 사용자 정보가 노출될 수 있다. CVE-2026-86990은 CoreMedia에 영향을 주며 악성 앱이 사용자 허가 없이 카메라에 접근할 수 있다. CoreMedia는 애플이 오디오와 비디오를 관리하는 데 사용하는 소프트웨어의 일부다.

애플은 아이폰 XS, 아이폰 XS Max, 아이폰 XR과 7세대 아이패드를 이번 업데이트 대상 기기로 안내했다. 빌드 번호는 22H384다. 이 번호를 통해 사용자와 관리자는 설치된 소프트웨어 버전을 추가로 확인할 수 있다.

이번 사례는 업데이트 항목이 적어도 신속한 설치가 필요한 이유를 보여준다. 해당 기기의 업데이트는 악용된 취약점 패치와 함께 개인정보 및 카메라 접근을 보호하는 변경 사항을 포함한다. 심각한 위험을 해결하기 위해 업데이트에 수백 건의 패치가 꼭 필요한 것은 아니다.

최신 아이폰·아이패드에는 더 폭넓은 패치

애플의 iOS 보안 권고에 따르면 iOS 27.2와 iPadOS 27.2에는 CoreGraphics, CoreMedia, ImageIO, 커널 등 여러 구성 요소의 패치가 포함됐다. 커널은 하드웨어와 메모리, 프로그램 간 접근을 관리하는 운영체제의 핵심 부분이다.

취약점 163건에는 애플의 웹 렌더링 엔진인 WebKit과 이미지, 글꼴, PDF 문서, 오디오, 비디오를 처리하는 구성 요소의 문제가 포함된다. 이 가운데 일부는 기기가 악성 콘텐츠를 처리할 때 코드 실행을 허용할 수 있다. 또 다른 취약점은 앱이 민감한 데이터를 가져가거나 개인정보 보호 설정을 우회하게 할 수 있다.

이번 업데이트는 지원되는 아이폰과 아이패드에서 원격 공격자가 민감한 정보에 접근할 수 있게 하는 Apple Intelligence 취약점 CVE-2026-86987도 수정한다. 웹 콘텐츠를 시스템의 나머지 부분과 분리하도록 설계된 제한된 환경인 WebContent 샌드박스를 벗어날 수 있는 문제도 해결했다.

Kerberos 인증 서버를 사칭하거나 주변 공격자가 Thread 네트워크에 접근할 수 있는 문제도 수정됐다. Kerberos는 시스템이 사용자의 신원을 확인하는 데 쓰이며, Thread는 스마트홈 기기를 포함한 호환 기기를 연결하는 네트워크 기술이다.

iOS 27.2는 아이폰 11 및 이후 모델을 지원한다. iPadOS 27.2는 4세대 12.9인치 아이패드 프로, 2세대 11인치 아이패드 프로, 4세대 아이패드 에어, 9세대 아이패드, 6세대 아이패드 미니와 각 제품군의 이후 모델을 지원한다. 26.7.2 계열은 8세대 아이패드, 3세대 아이패드 에어, 5세대 아이패드 미니 등 일부 구형 아이패드도 지원한다.

맥 패치는 원격 접근과 시스템 제어 취약점 해결

macOS Golden Gate 27.2는 취약점 263건을 수정해 단일 업데이트 가운데 가장 많은 항목을 다뤘다. 여기에는 앱이 맥에 대한 최고 수준의 제어 권한인 루트 권한을 얻도록 할 수 있는 취약점이 12건 넘게 포함됐다.

애플은 샌드박스 탈출과 Gatekeeper 우회, 파일 시스템 및 디스크 이미지를 처리하는 구성 요소의 메모리 손상 문제도 수정했다. Gatekeeper는 다운로드한 소프트웨어가 실행되기 전에 확인해 사용자가 신뢰할 수 없는 앱을 피하도록 돕는다.

화면 공유, 원격 관리, 네트워크 파일 공유 프로토콜인 SMB에도 패치가 적용됐다. 일부 취약점은 원격이나 로컬 네트워크에서 공격할 수 있다. 원격 관리 취약점을 이용하면 원격 공격자가 코드를 실행할 수 있어, 네트워크로 맥을 관리하는 조직은 특히 업데이트에 주의를 기울여야 한다.

macOS Tahoe 26.7.2는 취약점 213건을, macOS Sequoia 15.8.2는 197건을 수정한다. Tahoe 업데이트에는 앱이 민감한 사용자 정보에 접근할 수 있게 하는 Siri 취약점 CVE-2026-43736도 포함됐다.

Safari 27.2는 macOS Sequoia와 macOS Tahoe용으로 별도 제공되며 취약점 33건을 해결한다. 해당 맥 운영체제를 계속 사용하는 사용자도 시스템 패치와 함께 브라우저를 업데이트할 수 있다.

워치·TV·헤드셋도 업데이트 대상

애플의 10월 업데이트는 휴대전화와 컴퓨터에만 국한되지 않는다. watchOS 27.2는 취약점 62건을 수정하며 애플워치 시리즈 9 및 이후 모델을 지원한다. visionOS 27.2는 취약점 125건을 수정하며 모든 애플 비전 프로 모델을 대상으로 한다.

tvOS 27.2는 2세대 애플 TV 4K 및 이후 모델의 취약점 72건을 해결한다. 애플 TV HD와 1세대 애플 TV 4K에는 tvOS 26.6.1이 제공되며, 애플은 공개된 CVE 항목이 없다고 안내했다.

CVE 번호는 보안 취약점을 추적하는 데 사용하는 공개 식별자다. 애플의 목록은 기기 호환성과 CVE 번호를 별도로 표시하므로 어떤 업데이트를 설치해야 하는지 확인할 때 정확한 기기 모델을 살펴봐야 한다. 가정이나 직장에서 휴대전화만 업데이트하면 워치, TV, 헤드셋, 컴퓨터는 기존 소프트웨어 상태로 남는다.

애플이 eMudhra 인증서를 차단한 이유

10월 23일 공개된 애플의 eMudhra 보안 공지는 eMudhra가 운영하는 중간 인증기관 8곳의 개인 키와 관련된 별도 문제를 다룬다. 이 가운데 6곳은 웹사이트용 TLS 인증서를 발급했고, 2곳은 소프트웨어 서명용 인증서를 발급했다.

웹사이트 인증서는 일종의 신분증 역할을 한다. 인증기관이 인증서에 서명하면 소프트웨어는 해당 연결이 예상한 웹사이트로 이어지는지 확인할 수 있다. 중간 인증기관의 개인 키를 가진 사람은 다른 웹사이트에서도 유효한 것처럼 보이는 인증서를 만들 수 있다.

eMudhra의 키는 무작위성이 부족한 상태로 생성돼 공개 인증서를 바탕으로 계산해 낼 수 있었다. 보안 연구원 스콧 헬름은 8개 키를 모두 1초도 안 돼 복구했다고 밝혔다. eMudhra는 2025년 4월 30일 키 생성 과정에서 발생한 문제를 원인으로 들며, 영향을 받은 중간 인증기관 중 하나만 실제 서비스 환경에 배포됐고 최종 사용자에게 인증서를 발급한 곳은 없다고 밝혔다.

연구원은 10월 17일 문제를 신고했다. 애플은 10월 19일 영향을 받은 TLS 인증서 12개를 차단하기 시작했고, 10월 23일에는 emSign ECC Root CA - G3도 차단했다. 영향을 받은 TLS 인증기관 6곳이 서로 다른 신뢰 루트에 연결되는 인증서 버전을 각각 2개씩 보유해 TLS 인증서는 모두 12개다. eMudhra와 Sectigo는 영향을 받은 인증서를 폐기했다.

크롬, 파이어폭스, 안드로이드에도 차단 조치가 적용됐으며, 소프트웨어 프로젝트와 운영체제 공급업체도 자체 인증서 저장소를 수정했다. eMudhra 키가 악용된 사례는 확인되지 않았다. 애플의 자동 차단은 운영체제 업데이트를 설치하지 않아도 사파리, 메일 및 애플의 네트워킹·보안 프레임워크를 사용하는 앱에 적용된다.

일부 맥 도구에는 별도 대응 필요

맥 관리자와 개발자에게는 범위가 좁은 문제가 남아 있다. curl, git, python3, ruby, perl, openssl 등 macOS 또는 Xcode Command Line Tools에 포함된 일부 도구는 /etc/ssl/cert.pem을 기준으로 인증서를 확인한다. 이 파일을 통해 신뢰되는 인증서 체인에 대해서는 애플의 인증서 차단 여부나 폐기 상태를 확인하지 않는다.

애플은 향후 소프트웨어 업데이트에서 해당 파일을 변경할 예정이라고 밝혔지만 배포일은 공개하지 않았다. 먼저 조치하려는 관리자는 애플 안내에 따라 파일을 백업하고 해당 루트 인증서를 제거할 수 있다.

emSign ECC Root CA - G3를 제거하면 신뢰 경로 하나가 차단된다. 애플 공지에 따르면 Sectigo의 교차 서명 인증서는 AAA Certificate Services를 통해 여전히 허용될 수 있어 관리자가 선택적으로 해당 루트도 제거할 수 있다. 루트 인증서를 제거하면 이 파일에 의존하는 모든 도구에 영향을 주며, 해당 루트 아래의 다른 인증서를 사용하는 정상 웹사이트 연결이 중단될 수 있다.

이후 macOS 업데이트에서 /etc/ssl/cert.pem 파일이 교체될 수 있으므로 임시 조치를 적용한 관리자는 애플의 영구 수정이 나올 때까지 업데이트 후 파일 상태를 확인해야 한다. 자체 인증서 목록을 사용하는 앱은 해당 앱 개발자의 별도 조치가 필요하다.

대부분의 애플 기기 사용자는 인증서 파일을 직접 수정할 필요가 없다. 우선 해당 기기에 맞는 보안 업데이트를 설치하면 된다. 조직은 원격 관리 서비스, 개발자 도구, 자체 신뢰 목록을 관리하는 앱도 점검해야 한다. 애플은 여러 결함의 발견에 AI 도구와 연구팀이 기여했다고 밝혔으며, 이는 보안 테스트가 다수의 공유 구성 요소에서 동시에 문제를 찾아내고 있음을 보여준다.

핵심 내용

• 애플은 2026년 10월 26일 주요 운영체제와 사파리를 대상으로 보안 업데이트 11종을 배포했다.
• iOS 18.7.11과 iPadOS 18.7.11은 악용된 CoreGraphics 취약점 패치를 아이폰 XS, XS Max, XR과 7세대 아이패드에 제공한다.
• 업데이트에는 공유 소프트웨어 구성 요소 전반의 취약점 목록 1,265건이 포함됐으며, 서로 다른 취약점은 최소 329개다.
• 맥 패치는 원격 접근 취약점을 해결하고, 다른 수정 사항은 민감한 데이터와 카메라 권한을 보호한다.
• 애플은 사파리, 메일 및 자체 보안 프레임워크를 사용하는 앱에서 유출된 eMudhra 웹 인증서를 자동으로 차단한다.
• 일부 맥 명령줄 도구에는 향후 인증서 파일 업데이트 또는 관리자의 선택적 우회 조치가 필요하다.