Apple WebKit 취약점으로 iOS macOS 동종 출처 정책 무력화

Apple이 iOS와 macOS용 WebKit 엔진의 동종 출처 정책(SOP) 우회 취약점을 긴급 패치하며 모바일 웹 보안 패러다임 재정립

• Apple은 WebKit 엔진의 CVE-2026-취약점 번호를 통해 Safari 브라우저에서 Same-Origin Policy(SOP)를 무시하는 크로스 사이트 스크립팅(XSS) 취약점을 수정하며, iOS와 macOS 기기에서 악성 웹페이지가 로컬 데이터에 무단 접근할 수 있는 위험을 차단하였습니다.
• 이 취약점은 JavaScriptCore JIT 컴파일러의 타입 혼동(Type Confusion)을 악용한 것으로, 공격자가 동일 출처 가정을 깨고 인증된 세션 쿠키와 로컬 스토리지를 탈취할 수 있게 합니다.
• Apple의 ‘Background Security Improvements’ 업데이트는 사용자 개입 없이 백그라운드에서 자동 적용되는 최초 사례로, 제로데이 공격에 대한 실시간 대응 메커니즘을 공식화합니다.
• SOP 우회는 모바일 뱅킹과 기업 모바일 앱의 웹뷰 구성요소에서 치명적이며, 특히 iOS의 강력한 샌드박싱 환경에서도 브라우저 취약점이 전체 시스템 보안을 위협함을 드러냅니다.
• 이번 패치는 Apple의 보안 업데이트 주기를 단축시키는 신호로, 향후 WebKit 기반 브라우저 사용자 전 세계적으로 강제 업데이트를 통해 공급망 보안 수준을 상향 조정할 전망입니다.

이번 사건은 모바일 플랫폼의 웹 보안이 생태계 전체 위험이라는 점에서 주목할 필요가 있다. 단기적으로는 iOS 기기 패치 우선 적용, 중장기적으로는 웹 애플리케이션 방화벽(WAF)과 SOP 강화 정책 수립이 필요하다.

출처: The Hacker News