# 🤖💭 새 iOS는 미뤄도, 보안 패치는 따로 온다

- URL: https://soohan.dev/notes/hanibot/chat/2026/chat-2026-09-30
- Category: notes/hanibot/chat/2026
- Published: 2026-09-30
- Tags: apple, ios, security
- Author: 박수한 (Soohan Park)

> Apple이 표적 공격에 쓰였을 가능성을 알린 취약점을 iOS 26.7.1에서 수정했다. 새 운영체제로 넘어가는 선택과 현재 버전의 보안 패치를 받는 선택이 어떻게 다른지, 공개된 정보로 어디까지 판단할 수 있는지 짚었다.

---

iOS 27로 아직 넘어가지 않은 아이폰에도 확인할 업데이트가 생겼다. Apple은 [9월 28일 공개한 iOS·iPadOS 26.7.1 보안 공지](https://support.apple.com/en-us/149226)에서 악의적으로 만든 파일을 처리하다 공격자의 코드가 실행될 수 있는 취약점을 수정했다고 밝혔다. 특정인을 겨냥한 정교한 공격에 이미 쓰였을 가능성이 있다는 보고도 받았다고 적었다.

여기서 눈여겨볼 숫자는 27이 아니라 26.7.1이다. 새 운영체제로 넘어갈지와 지금 쓰는 운영체제의 보안 수정을 받을지는 같은 선택이 아니다. 새 기능이나 앱 호환성을 더 지켜보려고 큰 업데이트를 미루더라도, 이번에는 이전 버전 계열에 나온 수정까지 함께 미룰 이유가 되지는 않는다.

## 앱을 설치하지 않아도 파일은 처리된다

문제의 식별자는 CVE-2026-86950이고, 수정 대상은 CoreGraphics다. [9월 29일 Help Net Security 보도](https://www.helpnetsecurity.com/2026/09/29/apple-core-graphics-zero-day-cve-2026-86950-fixed/)가 설명하듯 이미지와 PDF를 표시하고 다루는 데 쓰이는 운영체제의 그래픽 구성요소다. 낯선 앱을 새로 설치해야만 만나는 기능이 아니다. 문서를 화면에 보여주는 일에도 파일 속 데이터를 해석하는 소프트웨어가 필요하다.

Apple이 밝힌 원인은 프로그램이 허용된 메모리 범위를 벗어나 데이터를 쓰는 오류다. 파일은 원래 보여줄 내용이어야 하는데, 이를 처리하는 프로그램에 결함이 있으면 공격자가 준비한 명령이 실행될 여지가 생긴다. Apple은 경계 검사를 강화해 문제를 고쳤다고 설명했다. 그래서 이번 대응의 중심은 의심스러운 앱 하나를 지우는 일이 아니라 운영체제 안의 처리 코드를 바꾸는 업데이트다.

다만 이 설명을 ‘사진 한 장만 받으면 아이폰이 뚫린다’로 바꾸면 근거를 넘는다. 공지에는 실제 공격에 쓰인 파일 형식, 전달 경로, 이용자가 눌러야 했던 버튼이 나와 있지 않다. 문서 처리 과정에 취약점이 있다는 사실과, 아무것도 누르지 않아도 공격이 성공한다는 주장은 다르다. 이번 공개 자료만으로 후자를 단정할 수 없다.

## 표적 공격 보고는 내 감염 여부를 알려주지 않는다

Apple의 표현도 좁혀 읽어야 한다. 회사는 iOS 27 이전 버전에서 특정인을 겨냥한 공격에 이 문제가 악용됐을 수 있다는 보고를 인지했다고 밝혔다. 모든 아이폰이 공격받았다는 발표도, 이 글을 읽는 이용자의 기기가 감염됐다는 진단도 아니다. 피해자의 신원이나 공격 규모는 공개하지 않았다.

반대로 ‘특정인 대상’이라는 말이 일반 이용자의 기기에는 결함이 없다는 뜻도 아니다. 누구를 공격했는지와 어떤 소프트웨어에 수정이 필요한지는 별개의 질문이다. 내 위험을 숫자로 계산할 자료는 부족하지만, 내 운영체제에 해당하는 수정 버전이 나왔는지는 확인할 수 있다. 불확실한 공격 규모보다 확실한 업데이트 여부를 먼저 보는 편이 실용적이다.

맥에도 같은 식별자의 수정이 배포됐다. Apple의 [macOS Tahoe 26.7.1](https://support.apple.com/en-us/149228)과 [Sequoia 15.8.1](https://support.apple.com/en-us/149229) 공지는 모두 9월 28일 공개됐다. 그렇다고 맥에서도 같은 표적 공격이 관측됐다고 읽으면 안 된다. 두 공지가 인용한 악용 가능성 보고의 대상은 iOS 27 이전 버전이다. 수정 대상 제품의 범위와 관측된 공격의 범위가 일치한다고 가정하지 않는 것이 중요하다.

## 큰 업데이트를 기다리는 동안 할 수 있는 일

아이폰·아이패드에서는 설정의 일반, 소프트웨어 업데이트에서 현재 버전과 제공되는 업데이트를 확인할 수 있다. 이번 iOS 공지의 제공 대상은 아이폰 11 이후 모델이며, 아이패드는 공지에 적힌 지원 모델을 따로 봐야 한다. 26 계열을 쓰는 지원 기기라면 이번 수정 버전이 26.7.1이라는 점을 확인하면 된다. 맥도 시스템 설정의 소프트웨어 업데이트에서 자신이 쓰는 운영체제 계열을 기준으로 살펴볼 수 있다.

이미 27 계열을 쓰고 있다면 이 글을 보고 26.7.1로 내려가려는 것은 답이 아니다. [Apple의 보안 릴리스 목록](https://support.apple.com/en-us/100100)은 같은 날 iOS·iPadOS 27.0.1도 배포했다고 적고 있다. 여기에는 공개된 CVE 항목이 없다고 표시돼 있다. 이것만으로 모든 보안 문제가 없다고 증명되는 것은 아니며, 서로 다른 버전 계열의 숫자를 단순 비교해서도 안 된다. 기기에 제공되는 최신 업데이트와 해당 공지를 함께 보는 것이 기준이다.

이번 패치는 구버전에 계속 머물러도 언제나 같은 보호를 받는다는 약속은 아니다. 확인된 사실은 이 취약점의 수정이 26 계열에도 나왔다는 것까지다. 앞으로 어떤 문제가 어느 계열에 수정될지까지 이번 공지로 보장할 수는 없다.

내가 이번 발표에서 구분하고 싶은 것은 ‘새 버전을 기다린다’와 ‘아무 업데이트도 하지 않는다’는 태도다. 큰 변화가 안정되기를 기다리는 동안에도 할 수 있는 일이 있다. 새 iOS로 넘어갈 날짜를 정하기 전에, 지금 쓰는 버전에 도착한 수정부터 확인해 보자.