애플 CoreGraphics PoC 공개, 왓츠앱 PDF 검사 변경이 가능한 전달 경로 시사

보안 연구자들이 애플이 특정 표적 대상 공격에 사용됐을 가능성이 있다고 밝힌 애플 CoreGraphics 결함인 CVE-2026-86950에 대한 최초의 공개 PoC(개념 증명 코드)를 발표했다.

트리거는 조작된 임베디드 폰트가 포함된 악성 PDF로, 패치되지 않은 아이폰과 맥을 충돌시킨다. 이 코드는 충돌을 일으킬 뿐, 실행 오류를 일으키지는 않는다. 메모리 손상을 실제로 작동하는 익스플로잇으로 전환하는 것은 별도의 작업이며, 이번 분석은 이를 시연하지 않는다.

애플은 9월 28일 이 결함을 패치했으며, 발견 공로를 메타(Meta) 제품 보안팀에 돌렸다. 그리고 이 결함이 "iOS 27 이전 버전의 iOS에서 특정 표적 대상에 대한 극도로 정교한 공격"에 사용됐을 수 있다고 언급했다.

미국 사이버보안·인프라보안청(CISA)은 다음 날 이 결함을 실제 악용 확인 목록(Known Exploited Vulnerabilities, KEV)에 등재했으며, 연방기관에 10월 2일까지 수정 사항을 적용하도록 요구했다.

애플은 9월 28일 보안 권고문에서 iOS 27이나 macOS Golden Gate 27을 영향받는 버전으로 명시하지 않았다. 즉시 업데이트할 수 없는 시스템을 위한 우회 대응책도 설명되지 않았다.

연구자들이 발견한 것

이 분석은 제로클릭(사용자 조작 없이 공격이 성립하는 방식) 공격 표면 연구로 알려진 회사 Calif 소속 Dion Blazakis, Josh Maine, Anna Groza가 9월 30일 공개했다. 이들은 메신저 앱 분야에서의 연구로 알려져 있으며, iOS 26.7과 26.7.1의 공개 바이너리 비교에서 분석을 시작했다.

CoreGraphics는 2D 드로잉, 이미지 렌더링, PDF 처리를 담당하는 애플 프레임워크다. 26.7.1에서 변경된 유일한 라이브러리였으며, 동일한 수정이 8개의 래스터라이저(rasterizer) 함수에 걸쳐 20회 이상 적용됐다.

패치된 코드는 글리프(glyph, 폰트의 개별 문자 형상) 좌표를 부동소수점에서 32비트 고정소수점 값으로 변환한다. 패치 전에는 8개 함수 중 두 개가 범위를 벗어난 값을 서로 다르게 처리했다: 하나는 결과값을 포화(saturate)시켰고, 다른 하나는 절단(truncate)했다.

이 차이로 인해 글리프의 경계 상자(bounding box) 계산이 너무 좁게 이뤄졌다. 그 결과 CoreGraphics는 그려야 할 경계보다 작은 작업 버퍼를 할당했고, 버퍼 밖에 데이터를 기록했다.

이 버그를 유발하기 위해 연구자들은 오버플로우를 강제할 만큼 큰 좌표값을 가진 TrueType 폰트를 제작했다. 이 폰트를 텍스트 행렬(text matrix)과 중첩된 복합 글리프 스케일링이 포함된 PDF에 임베딩하면 좌표값이 한계를 넘어선다. 연구자들은 생성 스크립트와 샘플 PDF를 공개 GitHub 저장소에 게시했다.

이 테스트 도구는 앱이 수신한 첨부파일을 미리보기할 때 사용하는 것과 동일한 ImageIO 썸네일 경로를 호출한다. 연구자들은 이 충돌이 macOS와 iOS 모두에서 발생한다고 밝혔다.

macOS 결과에는 전체 디버거 호출 스택이 포함돼 있다. iOS에서의 주장은 Calif 측의 설명일 뿐이며, 별도의 추적 기록은 공개되지 않았다.

이 충돌은 공격자가 제어할 수 있는 버퍼 내 인접한 16비트 값 두 개에 영향을 미치는, 제어 가능한 버퍼 밖 쓰기(out-of-bounds write) 취약점을 드러낸다. 이로 인해 스택이나 힙에 데이터를 쓸 수 있다. Calif는 이 취약점을 실제로 작동하는 코드 실행으로 전환하는 것은 별도의 작업이라고 밝혔다. Calif는 실제 공격에 쓰인 샘플을 확보하지 못했으며, 공격자가 어떻게 공격 체인을 완성했는지는 알 수 없다고 말했다.

왓츠앱 관련 의문

Calif는 메타 제품 보안팀이 이 결함을 발견한 공로를 인정받았다는 점 때문에 왓츠앱을 조사했다. 이 회사는 왓츠앱의 최신 두 버전인 26.37.73과 26.38.74를 비교했고, 왓츠앱의 첨부파일 검사 기능인 Kaleidoscope 스캐너에서 새로운 코드를 발견했다.

새 버전은 PDF 파일 내 임베디드 폰트 스트림을 읽고, 의심스러운 경우 MalformedFontProgram, UndecodableFontProgram, UnverifiedFontProgram이라는 세 가지 결함 태그로 표시한다. 이러한 태그가 붙으면 왓츠앱의 첨부파일 검사 시스템에 높은 위험 점수가 전달되며, 이는 해당 파일의 자동 파싱을 중단시킨다.

Calif는 이러한 변경 사항을 왓츠앱이 전달 경로일 가능성을 시사하는 정황 증거라고 설명했다. 이 회사의 게시물은 자사의 연구가 왓츠앱을 통한 제로클릭 공격 가능성을 다루고 있다고 소개했다.

공개된 분석은 왓츠앱을 통한 전달 경로를 구체적으로 설명하거나 테스트하지 않는다. 초기 버전에는 이러한 내용이 있었다: 연구팀의 분석에 따르면 왓츠앱이 자동 미디어 다운로드가 켜진 상태에서 신뢰할 수 있는 연락처의 채팅을 열면 결함을 유발하는 PDF를 전달할 수 있다는 내용이었다.

이 문장은 발표 85분 만에 Calif의 CEO인 Thai Duong에 의한 커밋을 통해 삭제됐으며, 그는 이 변경을 왓츠앱 관련 추측을 제거한 것이라고 설명했다.

이 분석은 "이 결함이 사용자 상호작용을 덜 필요로 하는 파싱에 도달하기 위해 왓츠앱의 추가 취약점과 결합됐는지" 묻는 질문으로 끝맺는다. 이 표현은 Calif가 연구한 경로가 사용자의 조작이나 왓츠앱의 추가 취약점이 결합된 공격 체인을 필요로 할 수 있음을 시사한다.

왓츠앱은 이 결함을 자사 제품과 연관짓는 어떠한 보안 권고문도 발표하지 않았다. 왓츠앱의 2026년 권고문 페이지에는 관련 없는 두 개의 취약점만 나열돼 있다.

The Hacker News는 메타에 왓츠앱이 보도된 공격에 연루됐는지 문의했다. 메타는 발행 시점까지 답변하지 않았다.

이전 사례는 이러한 가설을 설득력 있게 만든다. 2025년 8월, 왓츠앱은 자사의 연결된 기기 동기화 메시지에 존재하는 결함이 애플의 별도 버퍼 밖 쓰기 취약점과 결합돼 200명 미만의 표적 사용자를 대상으로 사용됐을 가능성이 있다고 평가했다. 이 두 취약점은 당시 THN(The Hacker News)이 보도한 바 있다.

The Hacker News는 Calif에 삭제된 전달 관련 주장과, 발표 이후 연구자들이 실제 악용 샘플을 확보했는지 문의했다. Calif는 발행 시점까지 답변하지 않았다.

네트워크 지표, 공격자 식별 정보, 익스플로잇 페이로드 이름 등은 공개되지 않았다. 애플은 보도된 공격에 사용된 전달 경로를 Lockdown Mode(잠금 모드)가 차단했을지에 대해 밝히지 않았다.