CVE-2026-86950은 Apple CoreGraphics에서 발생한 범위 밖 쓰기(out-of-bounds write) 문제입니다. 조작된 파일을 처리할 때 임의 코드 실행이라는 심각한 보안 위험이 따르고, 실제 공격에 악용된 정황까지 확인되어 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되었습니다.
CVE-2026-86950 취약점 개요 및 위험성
CVE-2026-86950은 Apple의 그래픽 처리 프레임워크인 CoreGraphics에서 발생하는 범위 밖 쓰기(out-of-bounds write) 취약점입니다. 시스템이 허용된 메모리 범위를 벗어나 데이터를 기록할 때 생기는 문제입니다.
공격자가 정교하게 조작한 파일을 대상 기기가 처리하도록 유도하면 시스템 안에서 임의 코드를 실행할 권한이 공격자 손에 넘어갑니다. 주의가 필요한 이유입니다. 이 취약점은 Meta Product Security가 보고했습니다.
CISA KEV 등재 및 실제 악용 사례
미국 사이버보안 및 인프라 보안국(CISA)은 이 취약점이 실제 환경에서 악용되고 있다고 판단해 2026년 9월 29일 CISA KEV 카탈로그에 등재했습니다. 등재와 동시에 조직에 2026년 10월 2일까지 조치를 마치라는 기한도 못 박았습니다.
Apple은 이 취약점이 iOS 27 이전 버전에서 특정 표적 개인을 노린 매우 정교한 공격에 이미 쓰였을 수 있다는 보고를 인지하고 있다고 공식 밝혔습니다. 불특정 다수를 향한 무차별 공격은 물론, 기술력이 높은 공격자가 특정 타겟의 기기를 침해하려 이 취약점을 전략적으로 활용했을 가능성을 보여줍니다.
Apple 보안 업데이트 버전 및 적용 대상
Apple은 2026년 9월 28일 이 취약점을 해결하는 보안 업데이트를 긴급히 배포했습니다. 핵심 수정 사항은 개선된 범위 검사(improved bounds checking)를 도입해 메모리 경계를 벗어난 쓰기 동작을 원천 차단하는 것입니다.
취약점이 수정된 OS 버전과 지원 대상 기기는 다음과 같습니다.
OS 버전별 수정 내역
| 운영체제 (OS) | 수정 버전 | 릴리스 날짜 | 수정 방법 |
|---|---|---|---|
| iOS | 26.7.1 | 2026-09-28 | 개선된 범위 검사 적용 |
| iPadOS | 26.7.1 | 2026-09-28 | 개선된 범위 검사 적용 |
| macOS Sequoia | 15.8.1 | 2026-09-28 | 개선된 범위 검사 적용 |
| macOS Tahoe | 26.7.1 | 2026-09-28 | 개선된 범위 검사 적용 |
iOS 및 iPadOS 26.7.1 지원 기기 리스트
- iPhone: iPhone 11 모델 및 그 이후 출시 모델
- iPad Pro: 12.9인치 3세대 이상, 11인치 1세대 이상
- iPad Air: 3세대 이상
- iPad: 8세대 이상
- iPad mini: 5세대 이상
대응 방안 및 권고 사항
CISA의 조치 요구 기한(2026-10-02)은 이미 경과했습니다. 기업 보안 담당자와 IT 관리자, Apple 기기 사용자 모두 업데이트 상태 점검이 급선무입니다.
-
최신 OS 업데이트 강제 적용
iOS 26.7.1, iPadOS 26.7.1, macOS Sequoia 15.8.1, macOS Tahoe 26.7.1 버전으로 바로 업데이트하십시오. -
기기 업데이트 상태 전수 조사
CISA 가이드라인 준수가 필요한 조직의 IT 관리자는 사내 모든 Apple 기기의 OS 버전을 점검해 업데이트가 누락된 기기를 가려낸 뒤 최신 버전으로 올립니다. -
신뢰할 수 없는 파일 처리 주의
이 취약점은 조작된 파일을 처리하는 과정에서 발생하는 만큼, 출처가 불분명한 파일이나 신뢰할 수 없는 경로로 받은 미디어 파일을 열지 않도록 하는 보안 인식 교육이 필요합니다.
CVE-2026-86950은 실제 공격 사례가 보고된 고위험 취약점입니다. 패치 적용 전까지는 기기 내 모든 데이터가 임의 코드 실행 공격에 노출될 수 있습니다. 사용자와 관리자 모두 지체 없이 보안 패치를 적용해 시스템을 지키는 것이 최선입니다.