구글 픽셀 모뎀 제로데이 실제 악용…사용자 조작 없이 권한 상승

구글이 픽셀(Pixel) 스마트폰의 셀룰러 모뎀에서 발견된 제로데이 취약점이 실제 표적 공격에 악용된 정황을 확인하고 보안 업데이트를 배포했다.

구글은 9월 15일 공개한 '2026년 9월 픽셀 업데이트 게시판'을 통해 CVE-2026-58704 취약점을 수정했다고 밝혔다. 이 취약점은 위험도 '높음(High)'으로 분류됐으며 CVSS 점수는 8.0이다.

구글은 "CVE-2026-58704가 제한적인 표적 공격에 악용되고 있다는 징후가 있다"고 밝혔다. 광범위한 무차별 공격보다는 특정 사용자를 노린 공격에서 사용됐을 가능성을 보여주는 대목이다.

CVE-2026-58704는 픽셀의 셀룰러 모뎀에서 발생하는 권한 상승 취약점이다. 모뎀 코드의 논리 오류로 권한 검사를 우회할 수 있는 문제가 원인이다.

특히 공격 과정에서 사용자가 링크를 누르거나 파일을 실행하는 등의 별도 행동이 필요하지 않다. 취약점 악용에 성공하면 공격자가 기존보다 높은 권한을 얻을 수 있다.

다만 인터넷 어디에서나 바로 공격할 수 있는 취약점으로 해석해서는 안 된다. CVSS 공격 경로는 '인접 네트워크(Adjacent Network)'로 평가됐다. 공격자가 취약한 모뎀과 통신할 수 있는 네트워크 범위나 관련 환경에 접근해야 한다는 의미다. 공격 복잡도는 낮고 사용자 개입은 필요하지 않는 것으로 평가됐다.

취약점이 애플리케이션이 아닌 셀룰러 모뎀에 존재한다는 점도 눈에 띈다. 모뎀은 스마트폰과 이동통신망 사이의 통신을 처리하는 핵심 구성요소다. 일반 앱보다 낮은 계층에서 동작하기 때문에 모뎀 취약점은 스마트폰 보안에서 중요하게 다뤄진다.

현재까지 구글은 실제 공격 방법이나 전체 공격 체인을 공개하지 않았다. 취약점을 악용한 공격자와 공격 대상, 피해 기기 수, 공격 목적도 확인되지 않았다. 상업용 스파이웨어 업체나 특정 국가 연계 공격조직이 관련됐다는 근거도 공개되지 않았다.

따라서 이번 취약점을 특정 공격그룹이나 스파이웨어 작전과 연결할 단계는 아니다. 현재 공식적으로 확인된 사실은 구글이 실제 제한적 표적 악용 정황을 확인했다는 수준이다.

미국 국가취약점데이터베이스(NVD)에 등록된 정보에서도 CVE-2026-58704는 기밀성·무결성·가용성에 미치는 영향이 모두 '높음'으로 평가됐다. 취약점 유형은 부적절한 권한 검증과 보호 메커니즘 실패로 분류됐다.

이번 픽셀 업데이트에는 CVE-2026-58704 외에도 모뎀, 부트로더, 전화 기능, 블루투스, NFC, GPU, 신뢰실행환경(TEE), 보호형 커널 기반 가상머신(pKVM) 등 여러 구성요소의 취약점이 포함됐다.

특히 IP 멀티미디어 서브시스템(IMS), 픽셀 IMS 미디어 라이브러리, VPU, 모뎀과 전화 관련 구성요소에서는 치명적 또는 높은 위험도의 원격 코드 실행(RCE) 취약점도 수정됐다.

구글은 지원 대상 픽셀 기기에 2026-09-05 보안 패치 수준의 업데이트를 제공한다고 밝혔다. 이 패치 수준을 적용하면 9월 픽셀 업데이트 게시판과 같은 달 안드로이드 보안 게시판에 포함된 관련 취약점이 함께 수정된다.

구글은 지원되는 모든 픽셀 사용자가 최신 업데이트를 적용할 것을 권고했다. 특히 CVE-2026-58704는 실제 공격 악용 정황이 확인된 만큼 업데이트를 미루지 않는 것이 필요하다.