애플이 iOS 27, iPadOS 27, macOS 등 주요 운영체제를 업데이트하면서 총 200건이 넘는 보안 취약점을 한꺼번에 수정했습니다. 특히 악성 이미지 파일 하나만으로 아이폰을 원격에서 침해할 수 있는 미디어 처리 모듈의 메모리 손상 취약점(CVE-2026-64752)이 포함돼 있어 주목됩니다. 운영체제의 핵심인 커널(OS의 가장 깊은 부분으로, 여기서 결함이 생기면 시스템 전체가 위험해집니다) 관련 취약점도 다수 포함돼 있어 피해 범위가 일반 앱 수준보다 훨씬 클 수 있습니다. 애플은 실제 공격에 이미 악용된 사례는 없다고 밝혔지만, 수정 범위가 크고 핵심 구성요소가 다수 포함된 만큼 가능한 한 빨리 업데이트할 것을 권고합니다. 기업 환경에서는 관리 기기에 패치를 신속히 적용하는 체계가 있는지 점검이 필요합니다.
애플이 iOS 27·iPadOS 27·macOS 골든게이트 27·macOS 타호 26.7 등 전 플랫폼에 걸쳐 200건 이상의 취약점을 수정하는 대규모 보안 업데이트를 발표했다. iOS/iPadOS 27 기준 126건, macOS 골든게이트 27 기준 210건이 포함된다.
악성 이미지 파일 한 장 노출만으로 아이폰을 침해할 수 있는 CoreMedia 메모리 손상 취약점(CVE-2026-64752)이 포함됐으며, iOS·iPadOS·macOS 커널 결함이 수십 건에 달해 메모리 손상, 권한 상승, 정보 유출, 시스템 강제 종료 등의 위협이 존재한다.
CoreMedia의 잘못된 메모리 처리 코드, 커널·인증·TCC·샌드박스·WebKit 등 핵심 구성요소 전반의 설계 및 구현 결함이 복합적으로 존재했으며, 2022년에 공개된 삼바(Samba) 힙 버퍼 오버플로 취약점(CVE-2022-3437)처럼 오래된 미수정 결함도 포함됐다.
애플은 CVE-2026-64752의 경우 문제 코드를 수정하는 대신 완전히 제거하는 방식으로 대응했다. 구 버전 사용자를 위한 iOS/iPadOS 26.7, macOS 세쿼이아 15.8 업데이트도 동시에 제공됐다. 실제 악용 사례는 현재까지 보고되지 않았다.
기업 보안 담당자는 관리 중인 iPhone·Mac 기기에 이번 패치를 신속히 배포해야 하며, 패치 공개 후 수주가 지나도 미적용 기기가 남는 것은 기술 문제가 아닌 관리 체계의 문제임을 인지하고 MDM(모바일 기기 관리) 정책을 점검해야 한다.
본문
애플이 14일(현지시각) 새 운영체제를 내놓으면서 취약점을 200개 넘게 한꺼번에 메웠다. 애플이 한 차례에 처리한 것으로는 가장 많은 규모다. 단순히 수정 건수만 많은 것이 아니라 운영체제의 핵심 영역인 커널을 비롯해 인증과 권한 관리, 웹 브라우징 등 광범위한 영역에 패치가 집중됐다.
애플이 손본 범위는 iOS 27과 iPadOS 27, macOS 골든게이트 27에 몰려 있다. iOS 27과 iPadOS 27에서 약 126건을 고쳤고 이 가운데 20건이 커널 결함이다. macOS 골든게이트 27에서는 210건을 손봤는데 100건가량은 iOS 27과 겹친다.
수정 대상은 AppleKeyStore(애플키스토어)와 인증 서비스, Foundation(파운데이션), Safe Browsing(세이프 브라우징), Sandbox(샌드박스), Security(시큐리티), TCC, WebKit(웹킷) 등 90개가 넘는 구성요소에 걸쳐 있다. 모바일과 데스크톱 운영체제에 공통으로 영향을 미치는 보안 결함만 약 100건에 달한다.
눈길을 끄는 대목은 미디어 처리 모듈 CoreMedia(코어미디어)의 메모리 손상 취약점(CVE-2026-64752)이다. Adam Boynton(애덤 보인턴) Jamf(잼프) 수석 엔터프라이즈 전략 매니저는 악성 이미지 한 장을 이용자에게 노출하는 것만으로 iPhone을 침해할 수 있는 결함이었다고 설명했다. 애플은 문제가 된 코드를 수정하는 대신 아예 제거하는 방식을 택했다.
새 운영체제로 넘어가지 않는 이용자를 위한 업데이트도 함께 나왔다. iOS 26.7과 iPadOS 26.7에서 80건 넘게, macOS 세쿼이아 15.8에서 150건 넘게 정리됐다. 이 가운데 iOS 26.7·iPadOS 26.7에서 수정된 약 70건은 iOS 27·iPadOS 27에도 포함됐으며, macOS 세쿼이아 15.8에서 수정된 140건 이상은 macOS 타호 26.7에서도 발견된 취약점이다.
macOS 타호 26.7은 고유 CVE 153건을 고쳤고 이 가운데 26건이 커널 결함이다. 악용될 경우 메모리 손상과 권한 상승, 시스템 강제 종료, 정보 유출 등으로 이어질 수 있는 취약점들이다. 커널은 운영체제의 핵심 영역인 만큼 이들 취약점이 악용될 경우 일반 애플리케이션 수준의 결함보다 시스템 전반에 미치는 영향이 클 수 있다.
이번 업데이트에는 올해 발견된 취약점뿐 아니라 과거에 공개된 결함도 포함됐다. macOS 타호 26.7에는 2022년 공개된 Samba(삼바) 취약점(CVE-2022-3437)이 포함됐다. Heimdal(하임달) 구성요소의 힙 기반 버퍼 오버플로 취약점으로, 악용될 경우 서비스 거부(DoS)를 일으킬 수 있는 중간 심각도 결함이다.
이 밖에 tvOS 27과 watchOS 27, visionOS 27에서도 각각 수십 건의 취약점이 수정됐고 Safari(사파리) 27은 6건, Xcode(엑스코드) 27은 1건을 고쳤다. 이번 보안 업데이트가 iPhone과 Mac뿐 아니라 애플의 주요 운영체제와 개발 환경 전반에 걸쳐 이뤄진 셈이다.
애플은 이번에 메운 취약점 가운데 실제 공격에 악용된 사례가 있다고는 밝히지 않았다. 다만 수정 규모가 크고 커널을 비롯한 핵심 구성요소의 취약점이 다수 포함된 만큼 이용자는 되도록 빨리 기기를 업데이트하는 편이 좋다.
기업 환경에서는 패치 공개 이후 실제 업무용 기기에 적용되기까지 걸리는 시간도 중요하다. Boynton 수석 엔터프라이즈 전략 매니저는 이번 업데이트에서 단순한 취약점 개수보다 취약점이 어디에 존재하는지를 봐야 한다고 강조했다. 특히 이번에는 브라우저 수준을 넘어 커널 관련 취약점이 다수 포함돼 있어 기업이 관리하는 iPhone과 Mac을 얼마나 신속하게 최신 상태로 전환할 수 있는지가 관건이라는 설명이다.
Boynton 수석 엔터프라이즈 전략 매니저는 과거에는 새 운영체제와 보안 패치를 기업 환경 전체에 적용하는 데 시간이 걸렸지만, 이제는 출시 당일부터 지원할 수 있는 환경이 갖춰진 만큼 패치가 공개된 뒤 수주가 지나도록 취약한 기기가 남아 있는 문제는 기술적 제약보다 기업의 관리 체계에 달린 문제라고 짚었다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
