애플, 맥 화면공유 인증우회 결함에 베타 없이 3버전 패치

애플, 맥 화면공유 인증우회 결함에 베타 없이 3버전 패치 / AI 생성 일러스트(삽화)

애플이 최신 macOS 세 버전에 대해 예고 없이 보안 업데이트를 배포했다. 이번에 나온 macOS 타호(Tahoe) 26.6.1, macOS 세쿼이아(Sequoia) 15.7.9, macOS 소노마(Sonoma) 14.8.9는 모두 스크린 쉐어링(화면 공유) 기능의 인증 우회 취약점을 겨냥한 패치다. 애플은 업데이트 안내문에 “이 업데이트는 맥을 위한 보안 업데이트를 제공합니다”라는 짧은 문구만 남겼지만, 이후 보안 지원 페이지를 통해 네트워크상의 공격자가 유효한 자격 증명 없이도 스크린 쉐어링에 접근할 수 있는 결함이었다고 밝혔다. 세 버전이 정식 개발자·퍼블릭 베타 과정을 건너뛰고 곧바로 배포된 점을 감안하면 애플이 상당히 심각한 문제로 판단했다는 해석이 나온다. 지디넷(ZDNet)에 따르면 이번 업데이트는 현지시각 목요일 배포됐다.

스크린 쉐어링 뚫리는 결함, 정체는

애플 보안 지원 페이지에 따르면 이번에 수정된 결함은 CVE-2026-65400으로 등록됐다. 애플은 “상태 관리를 개선해 인증 문제를 해결했다”고 설명했다. 세 macOS 버전 모두에서 “네트워크상의 공격자가 유효한 자격 증명 없이 스크린 쉐어링에 인증할 수 있는” 문제가 있었다는 것이다. 해당 결함은 알프레도 페솔리(Alfredo Pesoli, 계정명 @__rev)가 바이나리오 아틀라스(Bynario Atlas)를 통해 제보한 것으로 명시됐다.

나인투파이브맥(9to5Mac)은 공격자가 이 결함을 이용하면 스크린 쉐어링의 인증 절차를 건너뛰고 취약한 맥에 원격으로 접근할 수 있다고 짚었다. 시스템 설정과 세션에 부여된 권한에 따라 화면을 들여다보거나 앱과 파일을 열고, 그 밖의 조작까지 가능할 수 있다는 설명이다. 지디넷은 한발 더 나가 공격자가 개인 파일을 들여다보거나 시스템 설정을 변경하고, 악성코드를 설치하거나 해당 맥을 봇넷에 끌어들여 다른 컴퓨터를 공격하는 데 악용할 가능성까지 제기했다. 다만 애플과 각 매체 모두 이 결함이 실제 공격에 악용된 사례는 확인되지 않았다고 전했다.

지디넷에 따르면 원격으로 다른 맥에 접속하는 기능 자체는 macOS에 오래전부터 내장돼 있었고, 현재 형태의 스크린 쉐어링 앱은 2023년 macOS 소노마와 함께 도입된 버전이다. 평소에는 사용자 이름과 비밀번호를 정확히 입력해야 접속이 가능하지만, 이번 결함은 그 인증 절차 자체를 무력화할 수 있다는 점에서 문제의 심각성이 크다. 지디넷은 다만 보호된 가정용 네트워크에서는 공격자가 먼저 내부 네트워크 접근권을 확보해야 하는 반면, 보호되지 않은 공개 네트워크에서는 이 같은 공격이 훨씬 쉽게 성립할 수 있다고 지적했다.

베타 없이 곧바로 배포, 세 버전 동시 패치 / AI 생성 이미지

베타 없이 곧바로 배포, 세 버전 동시 패치

이번 조치가 눈에 띄는 이유는 절차다. 맥루머스(MacRumors)에 따르면 macOS 타호 26.6.1은 개발자와 일반 사용자 대상 베타 테스트 과정을 거치지 않고 곧바로 정식 배포됐다. macOS 세쿼이아 15.7.9와 macOS 소노마 14.8.9 역시 동일한 방식으로 나왔다. 통상 애플은 새 버전을 내놓기 전 개발자 베타와 퍼블릭 베타를 순차적으로 공개하는데, 이번엔 그 단계를 모두 생략했다.

나인투파이브맥은 애플이 세 버전에 걸쳐 이 같은 조치를 취한 점, 그리고 다음 정기 업데이트까지 기다리지 않고 곧바로 패치를 낸 점을 근거로 이 결함을 상당히 심각하게 판단했을 가능성을 제기했다. 맥루머스 역시 macOS 타호 26.6.1이 직전 정식판인 macOS 타호 26.6이 나온 지 일주일을 조금 넘긴 시점에 나왔다는 점을 짚으며, 애플이 이례적으로 짧은 주기 안에 추가 패치를 낸 배경에 주목했다. 각 버전의 빌드 번호는 macOS 소노마 14.8.9(23J631), macOS 세쿼이아 15.7.9(24G830), macOS 타호 26.6.1(25G76)이다.

업데이트 방법과 사용자 대응

업데이트는 맥에서 시스템 설정(System Settings) 앱을 열고 일반(General) 항목의 소프트웨어 업데이트(Software Update)를 선택하면 확인할 수 있다. 업데이트가 표시되면 지금 업데이트(Update Now) 버튼을 눌러 설치하면 된다.

나인투파이브맥은 스크린 쉐어링 기능을 평소에 쓰지 않는 사용자라도, 애플이 세 버전에 걸쳐 베타 과정도 없이 이 정도로 신속하게 패치를 낸 점을 고려하면 되도록 빨리 설치하는 편이 좋다고 조언했다. 지디넷도 같은 취지로 즉시 업데이트를 권고하며, 실제 악용 사례가 보고되지는 않았지만 잠재적 위험이 존재하는 만큼 서둘러 설치할 필요가 있다고 강조했다.

잇따른 소프트웨어 조치, 애플의 최근 행보

이번 패치는 애플이 최근 소프트웨어 전반에서 바쁘게 움직이는 가운데 나왔다. 엔가젯(Engadget)에 따르면 애플은 지난 7월 말 macOS 26.6을 비롯한 일련의 운영체제 정기 업데이트를 배포했고, 이달 중순에는 iOS 27과 macOS 27 등 차세대 시스템의 퍼블릭 베타를 시작했다. 이번 스크린 쉐어링 패치가 나오기 이틀 전에는 애플이 AI가 생성한 부실한 제보(‘AI 슬롭’)가 쏟아지는 데 대응해 버그 바운티(취약점 신고 포상) 프로그램을 개편한 최신 주요 기술 기업으로 이름을 올리기도 했다. 다만 이번 스크린 쉐어링 결함 제보가 그 개편된 프로그램을 통해 들어온 것인지는 소스에 명시되지 않았다.

정리하면 애플은 정기 업데이트 주기와 무관하게 심각도가 높다고 판단한 보안 결함이 발견되면 베타 단계를 건너뛰고서라도 신속히 대응하는 패턴을 이어가고 있다. 맥 사용자라면 스크린 쉐어링을 쓰지 않더라도 이번 업데이트만큼은 미루지 말고 곧바로 설치하는 것이 안전하다.