Parallels Desktop(맥에서 윈도우 등 다른 운영체제를 실행할 수 있게 해주는 가상화 소프트웨어)에서 심각한 보안 취약점(CVE-2026-90894)이 발견됐습니다. 이 취약점을 악용하면 Mac에서 일반 계정을 가진 사용자가 시스템 최고 권한인 root를 탈취할 수 있습니다. 개발자 노트북이나 여러 사람이 함께 쓰는 공용 Mac이 특히 위험하며, 악성 패키지 하나로도 공격이 가능합니다. Parallels Desktop v27.0.0에서 패치가 완료됐으므로, 해당 소프트웨어를 사용 중인 조직은 즉시 업데이트해야 합니다.
Parallels Desktop for Mac v26.4.0 이하 버전에서 인수 삽입(argument injection) 취약점(CVE-2026-90894, 'ParaShells')이 발견됐습니다. 로컬 일반 사용자가 root 권한을 획득할 수 있습니다.
공격자가 root 권한을 획득하면 시스템 소프트웨어 교체, 다른 사용자 데이터 열람, launchd를 통한 지속적 침투가 가능합니다. 개발자 노트북과 다수 계정이 있는 공용 Mac이 고위험군입니다.
world-writable Unix 소켓, 취약한 로컬 클라이언트 인증(Team ID 대신 peer credentials 신뢰), Qt 문자열 분할을 이용한 tar 인수 삽입이 결합된 취약점입니다. 가상 머신이 실행 중이지 않아도 prl_disp_service가 root로 동작 중이면 공격이 가능합니다.
제조사 Alludo는 2026년 9월 초 Parallels Desktop v27.0.0에서 패치를 배포했습니다. JFrog는 기술 세부 내용을 공개했으나 PoC(개념 증명) 스크립트는 미공개 상태입니다.
Parallels Desktop을 사용 중인 Mac을 전수 조사하고, 즉시 v27.0.0 이상으로 업그레이드해야 합니다. 로컬 계정 권한 최소화도 병행하십시오.
본문
Parallels Desktop에서 새로 공개된 취약점(CVE-2026-90894, 'ParaShells')은 Mac의 로컬 사용자라면 누구든 호스트 시스템의 root 권한을 획득할 수 있게 합니다.
ParaShells PoC 실행 장면 (출처: JFrog)
JFrog 취약점 연구팀 리더 Yuval Marvchick은 이 취약점이 특히 위험한 환경으로 두 가지를 꼽았습니다. 하나는 개발자 노트북으로, 악의적인 Homebrew 포뮬러 하나 또는 악성 npm preinstall 스크립트만으로 로컬 사용자 권한에서 시스템 전체 제어권까지 올라갈 수 있습니다. 다른 하나는 다수의 로컬 계정이 존재하는 대학·기업 공용 머신입니다.
그는 "root를 탈취한 공격자는 시스템 소프트웨어를 교체하고, 다른 사용자의 데이터를 읽고, launchd를 통해 지속적으로 시스템에 남아 있을 수 있다"고 덧붙였습니다.
공격 원리
CVE-2026-90894는 인수 삽입(argument injection) 취약점으로, Apple 자체 ARM 프로세서에서 실행되는 macOS에 설치된 Parallels Desktop for Mac v26.4.0에 영향을 주는 것으로 확인됐습니다. (이전 버전도 취약할 수 있으나 연구진이 테스트하지는 않았습니다.)
ParaShells 악용에는 세 가지 조건이 필요합니다:
- 취약한 버전의 가상화 소프트웨어가 설치되어 있을 것 (가상 머신이 실행 중일 필요는 없음)
- prl_disp_service가 활성 상태일 것 (런치 데몬이 시스템 로드 시 자동으로 시작하며 root로 실행됨), 그리고 /var/run/prl_disp_service.socket이 존재할 것
- 공격자가 권한이 낮은 로컬 사용자로 코드를 실행할 수 있을 것
Marvchick은 "이 익스플로잇은 world-writable Unix 소켓, 취약한 로컬 클라이언트 인증, 어플라이언스 추출 경로에서의 인수 삽입을 결합한다"고 설명했습니다.
"공격 체인은 짧습니다. world-writable Unix 소켓, Team ID 대신 peer credentials를 신뢰하는 로그인, 그리고 Qt 문자열 분할로 tar 인수를 구성하는 어플라이언스 언팩 경로입니다. 상위 경로에 포함된 따옴표 하나가 –use-compress-program= 을 삽입하고, macOS tar는 공격자의 스크립트를 uid 0(즉, root)으로 실행합니다."
JFrog 연구진은 CVE-2026-90894를 Parallels 제조사인 Alludo에 신고했으며, Alludo는 2026년 9월 초 출시된 Parallels Desktop v27.0.0에서 이를 수정했습니다.
2주 후 연구진은 기술적인 세부 내용을 공개했지만, 자체 개발한 원라이너 PoC(개념 증명) 스크립트는 공개하지 않았습니다.
Marvchick은 조직들이 Parallels Desktop을 실행 중인 모든 Mac을 파악하고, 해당 호스트에서 실행 중인 로컬 계정의 접근을 제한하며, 수정된 버전(v27.0.0 이상)으로 업그레이드할 것을 권고했습니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
