애플, 아이폰·맥 긴급 보안 업데이트…표적 공격에 악용된 취약점 패치

애플이 아이폰과 아이패드, 맥 운영체제에서 악성 파일을 이용해 임의 코드를 실행할 수 있는 보안 취약점을 수정했다. 애플은 해당 취약점이 특정 개인을 겨냥한 정교한 사이버 공격에 이미 악용됐을 가능성이 있다고 밝혔다.

취약점은 CVE-2026-86950으로, 애플 운영체제에서 그래픽 콘텐츠 처리를 담당하는 코어그래픽스(CoreGraphics) 구성요소에서 발생하는 범위 밖 쓰기(out-of-bounds write, 정해진 메모리 영역 밖에 데이터를 써서 시스템을 오작동시키는 결함) 문제다.

공격자가 특수하게 조작한 파일을 피해자의 기기에서 처리하도록 유도할 경우 메모리 영역을 비정상적으로 변경할 수 있으며, 결과적으로 임의 코드 실행으로 이어질 수 있다. 애플은 메모리 경계 검사를 강화하는 방식으로 문제를 해결했다. 취약점은 메타의 제품 보안팀이 발견해 애플에 보고했다.

애플 "특정 개인 겨냥한 정교한 공격에 악용 가능성"

이번 보안 업데이트에서 가장 주목되는 부분은 실제 공격 정황이다.

애플은 iOS 27 이전 버전을 사용하는 특정 개인을 겨냥한 매우 정교한 공격에 CVE-2026-86950이 악용됐을 가능성이 있다는 보고를 인지하고 있다고 밝혔다.

다만 현재까지 공개된 정보만으로는 광범위한 공격이 진행됐다고 볼 근거는 없다. 애플은 공격 대상과 피해 규모, 공격 성공 여부, 최초 악용 시점, 공격 주체 등에 대해서는 공개하지 않았다.

이 같은 표현은 일반적인 대규모 사이버 공격보다는 특정 인물을 선별해 공격하는 표적형 공격 가능성에 무게를 둔 것으로 볼 수 있다. 기자나 인권활동가, 기업·정부 관계자 등 특정 인물을 대상으로 하는 상용 스파이웨어 공격에서도 애플 제품의 제로데이 취약점(zero-day, 아직 패치가 나오지 않은 상태에서 공격에 악용되는 취약점)이 공격 경로로 활용된 사례가 지속적으로 발견돼 왔다.

iOS 26.7.1·iPadOS 26.7.1 등에서 패치

애플은 9월 28일 공개한 iOS 26.7.1과 iPadOS 26.7.1에서 해당 취약점을 수정했다. 대상 기기는 아이폰 11 이상을 비롯해 아이패드 프로 12.9인치 3세대 이상, 아이패드 프로 11인치 1세대 이상, 아이패드 에어 3세대 이상, 아이패드 8세대 이상, 아이패드 미니 5세대 이상이다.

맥에서는 macOS 타호 26.7.1과 macOS 세쿼이아 15.8.1을 통해 동일한 취약점이 수정됐다.

특히 애플이 실제 표적 공격 악용 가능성을 공식적으로 언급한 만큼 해당 운영체제를 사용하는 이용자는 업데이트를 미루지 않는 것이 중요하다. 기업 보안 담당자 역시 업무용 아이폰·아이패드와 맥의 운영체제 버전을 확인하고 패치 적용 여부를 점검할 필요가 있다.

애플은 올해 2월에도 동적 링커인 'dyld'에서 발견된 메모리 손상 취약점 CVE-2026-20700을 수정하면서 정교한 사이버 공격에서 실제 악용됐다고 밝힌 바 있다.