Apple CoreGraphics 표적 공격 취약점 CVE-2026-86950

Apple은 2026-09-28 배포한 iOS 26.7.1과 iPadOS 26.7.1에서 CoreGraphics 취약점 CVE-2026-86950을 수정했다. 조작된 이미지를 처리할 때 범위 밖 쓰기가 발생하며, 메모리 손상과 임의 코드 실행으로 이어질 수 있다.

2026-09-29 # cve

요약

Apple은 2026-09-28 배포한 iOS 26.7.1과 iPadOS 26.7.1에서 CoreGraphics 취약점 CVE-2026-86950을 수정했다. 조작된 이미지를 처리할 때 범위 밖 쓰기가 발생하며, 메모리 손상과 임의 코드 실행으로 이어질 수 있다.

Apple은 특정 개인을 겨냥한 정교한 공격에서 이 취약점이 악용됐을 가능성을 언급했다. 공개된 자료에는 취약 함수, 대상 이미지 포맷, PoC, patch diff가 포함되지 않았다.

항목	내용
CVE	CVE-2026-86950
컴포넌트	CoreGraphics
취약점 유형	범위 밖 쓰기
트리거	조작된 이미지 처리
영향	메모리 손상, 임의 코드 실행 가능
악용 상태	특정 표적 대상 공격에서 악용됐을 가능성
수정 버전	iOS 26.7.1, iPadOS 26.7.1
패치 배포일	2026-09-28

의심 단말의 증거를 먼저 보존

업데이트는 추가 악용을 차단하지만 이미 처리된 파일이나 후속 행위를 식별하지 않는다. 침해가 의심되는 단말은 초기화하기 전에 이미지 유입 기록, 앱 crash, 네트워크 연결, MDM 상태를 보존한다.

취약점 분석

CoreGraphics는 iOS와 iPadOS에서 이미지와 그래픽 데이터를 해석하고 렌더링하는 프레임워크다. CVE-2026-86950의 입력은 조작된 이미지이며, 확인된 exploit primitive는 이미지 처리 과정의 범위 밖 쓰기다.

### 조작된 이미지

    -> CoreGraphics 파싱 또는 렌더링
    -> 범위 밖 쓰기
    -> 처리 프로세스의 메모리 손상
    -> 임의 코드 실행 가능

범위 밖 쓰기는 공격자가 의도한 데이터를 유효한 버퍼 경계 밖에 기록하게 만드는 메모리 손상 취약점이다. 손상 위치와 데이터 제어 수준에 따라 프로세스 crash에서 제어 흐름 탈취까지 영향을 확장할 수 있다.

현재 공개된 자료만으로는 다음 세부 사항을 특정할 수 없다.

취약 함수와 객체 구조
취약한 이미지 포맷과 필드
범위 밖 쓰기의 크기와 데이터 제어 범위
파일 수신만으로 트리거되는지, 렌더링 또는 미리보기가 필요한지 여부
sandbox escape나 커널 권한 획득이 결합된 exploit chain

따라서 특정 메시지 앱의 zero-click 취약점이나 전체 단말 장악으로 범위를 확대해 해석할 근거는 없다. 다만 메시지, 메일, 브라우저, 파일 공유 앱이 이미지를 자동으로 디코딩하거나 미리보기를 생성할 수 있으므로 사용자의 명시적인 파일 열기만을 전제해서도 안 된다.

영향과 악용 조건

공격이 성립하려면 취약 버전의 단말에서 조작된 이미지가 CoreGraphics 처리 경로에 도달해야 한다. 성공하면 이미지를 처리한 프로세스의 실행 문맥에서 임의 코드 실행으로 이어질 수 있다.

Apple의 설명은 광범위한 무차별 공격이 아니라 특정 개인을 겨냥한 공격 가능성을 가리킨다. 조사 우선순위는 취약 버전 사용 여부와 함께 사용자 표적 가능성, 외부 이미지 수신 이력, 이미지 처리 시점의 단말 행위를 기준으로 정한다.

지원 모델과 정확한 영향 범위는 Apple 보안 릴리스의 기기 목록을 자산 정보와 대조해야 한다. iOS 또는 iPadOS라는 이유만으로 모든 기기가 동일하게 영향을 받는다고 단정할 수는 없다.

패치 확인

수정 버전은 iOS 26.7.1과 iPadOS 26.7.1이다. MDM에서 업데이트 명령의 전달 여부가 아니라 설치 후 단말이 보고한 OS 버전과 마지막 통신 시점을 확인한다.

자산 상태는 다음과 같이 정리할 수 있다.

device_id,platform,os_version,last_seen,owner_risk
iphone-014,iOS,26.7.1,2026-09-29,high
ipad-032,iPadOS,26.7,2026-09-29,standard
iphone-087,iOS,26.7,2026-09-27,high

이 예시에서는 ipad-032와 iphone-087이 수정 버전보다 낮다. iphone-087은 표적 가능성이 높은 사용자에게 할당됐고 마지막 통신 시점도 오래됐으므로 단말 상태를 별도로 확인해야 한다.

탐지와 조사

공개 자료에는 CVE-2026-86950에 연결된 파일 해시, 도메인, IP 주소 등의 IOC가 없다. 탐지는 취약 버전 단말을 식별한 뒤 이미지 유입, 프로세스 이상, 외부 통신을 시간순으로 연결하는 방식이 적합하다.

네트워크

이미지 수신 또는 미리보기 생성 직후 시작된 외부 연결을 확인한다.
평소 사용하지 않던 도메인이나 호스팅 사업자 대역으로의 연결을 찾는다.
동일 단말에서 반복되는 짧은 연결, 비정상적인 업로드, 장시간 유지되는 세션을 확인한다.
메시지·메일·브라우저 기록과 네트워크 로그의 타임스탬프를 대조한다.

네트워크 IOC가 공개되지 않았으므로 특정 도메인이나 IP 주소만으로 탐지 범위를 제한하면 안 된다.

엔드포인트

iOS 26.7.1 또는 iPadOS 26.7.1보다 낮은 버전을 보고하는 관리 단말을 식별한다.
외부 이미지 수신 직후 발생한 앱 crash와 반복 재실행을 확인한다.
같은 시간대의 구성 프로파일 변경, 비정상 계정 등록, MDM 관리 상태 이탈을 조사한다.
메시지, 메일, 브라우저, 협업 앱에 남은 첨부파일 이름과 수신 시각을 보존한다.
의심 파일은 일반 업무 단말에서 다시 열거나 변환하지 않는다.

앱 crash는 메모리 손상의 관측 지점이지만 단독으로 악용을 입증하지 않는다. 반대로 crash 기록이 없다는 이유만으로 exploit 가능성을 배제할 수도 없다.

서버

메일 게이트웨이와 협업 플랫폼에서 의심 단말로 전달된 이미지 첨부 기록을 확인한다.
동일한 파일이나 메시지가 다른 사용자에게도 전달됐는지 조사한다.
MDM에서 OS 버전, 업데이트 상태, 마지막 체크인, 관리 프로파일 변경 이력을 추출한다.
프록시, DNS, VPN 로그를 단말의 이미지 수신 시각과 연계한다.
업무 계정에서 새 세션, 토큰 재발급, 비정상 위치 로그인이 발생했는지 확인한다.

대응

지원 대상 iPhone과 iPad를 iOS 26.7.1 또는 iPadOS 26.7.1로 업데이트한다.
재부팅 후 MDM이 보고한 실제 OS 버전을 확인한다.
표적 가능성이 높은 사용자와 외부 파일 수신이 많은 단말부터 상태를 점검한다.
업데이트할 수 없는 단말은 업무 계정과 민감 데이터 접근 대상에서 분리한다.
의심 파일의 원본, 파일 메타데이터, 수신 경로와 타임스탬프를 보존한다.
침해가 의심되면 초기화 전에 MDM 기록, 앱 crash, 네트워크 로그를 확보하고 모바일 포렌식 절차로 전환한다.