애플, 실제 공격에 악용된 CoreGraphics 제로데이 취약점 패치

한 줄 요약

애플이 아이폰과 아이패드, 맥에서 실제 공격에 악용된 제로데이(zero-day, 패치가 나오기 전부터 악용되는 취약점) 취약점을 긴급 패치했습니다. 이 취약점은 이미지·텍스트 렌더링에 쓰이는 CoreGraphics 프레임워크에서 발견된 결함으로, 조작된 파일을 열기만 해도 공격자가 임의 코드를 실행할 수 있습니다. 애플은 이 취약점이 특정 개인을 노린 "매우 정교한" 표적 공격에 이용됐다고 밝혔습니다. iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1, macOS Sequoia 15.8.1 업데이트로 수정됐으며, 영향받는 기기가 아이폰 11 이후 모델을 포함해 매우 광범위하므로 즉시 업데이트하는 것이 좋습니다.

사건

애플이 iOS·iPadOS·macOS의 CoreGraphics 프레임워크에서 실제 공격에 악용된 제로데이 취약점(CVE-2026-20700)을 패치했다.

영향

조작된 파일을 처리하면 공격자가 임의 코드를 실행할 수 있으며, 아이폰 11 이후 모델과 다수의 아이패드, 맥 기종이 영향을 받는다.

원인

CoreGraphics의 메모리 범위 밖 쓰기(out-of-bounds write) 취약점으로, 메모리 버퍼 밖에 데이터를 기록해 시스템을 조작할 수 있었다.

대응

애플은 경계 검사를 강화해 iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1, macOS Sequoia 15.8.1로 이 문제를 해결했다.

실무 포인트

표적 공격 위주이긴 하지만 영향 범위가 넓은 만큼, 조직 내 애플 기기 사용자는 해당 보안 업데이트를 즉시 적용해야 한다.

본문

애플이 iOS 기기를 대상으로 한 "매우 정교한" 표적 공격에 악용된 제로데이 취약점을 수정하는 보안 업데이트를 배포했습니다.

CVE-2026-20700으로 지정된 이 결함은 iOS, macOS, iPadOS, watchOS, tvOS 전반에서 2차원 벡터 그래픽, 이미지 렌더링, 텍스트 그리기에 사용되는 프레임워크인 CoreGraphics의 out-of-bounds write(범위 밖 쓰기) 취약점에서 비롯되었으며, Meta Product Security가 발견했습니다.

out-of-bounds write 취약점을 성공적으로 악용하면 공격자는 프로그램을 충돌시키거나, 데이터를 손상시키거나, 최악의 경우 할당된 메모리 버퍼 밖에 데이터를 기록해 원격 코드 실행(remote code execution)까지 얻을 수 있습니다.

애플은 월요일 "이 문제가 iOS 27 이전 버전에서 특정 표적 개인을 대상으로 한 매우 정교한 공격에 악용되었을 수 있다는 보고를 인지하고 있다"고 경고했습니다.

"악의적으로 조작된 파일을 처리하면 임의 코드 실행으로 이어질 수 있습니다. out-of-bounds write 문제는 경계 검사를 개선해 해결되었습니다."

이번 제로데이의 영향을 받는 기기 목록은 구형 모델과 신형 모델을 모두 포함해 매우 광범위하며, 다음과 같습니다:

아이폰 11 이후, 아이패드 프로 12.9인치 3세대 이후, 아이패드 프로 11인치 1세대 이후, 아이패드 에어 3세대 이후, 아이패드 8세대 이후, 아이패드 미니 5세대 이후
그리고 macOS Sequoia 15.8.1 및 Tahoe 26.7.1을 실행하는 맥

애플은 iOS 26.7.1과 iPadOS 26.7.1, macOS Tahoe 26.7.1, macOS Sequoia 15.8.1에서 경계 검사를 개선해 악용을 방지하도록 이 문제를 해결했습니다.

이 취약점은 고도로 표적화된 공격에서만 악용될 가능성이 높지만, 진행 중인 공격을 막기 위해 이 보안 업데이트를 즉시 설치할 것을 강력히 권장합니다.

이번 취약점으로 애플은 올해 들어 실제 공격에 악용된 제로데이를 두 건째 수정했습니다. 다른 하나는 애플 운영체제에서 사용되는 Dynamic Link Editor인 dyld의 임의 코드 실행 취약점으로, CVE-2026-20700으로 지정되었으며 이 역시 매우 정교한 표적 공격에 악용되었고, 2월에 패치되었습니다.

지난해에도 애플은 실제로 악용된 제로데이 7건을 수정했는데, 1월에 첫 번째(CVE-2025-24085), 2월에 두 번째(CVE-2025-24200), 3월에 세 번째(CVE-2025-24201), 4월에 두 건 더(CVE-2025-31200 및 CVE-2025-31201), 12월에 또 다른 두 건(CVE-2025-43529 및 CVE-2025-14174)이 있었습니다.