Apple WebKit 취약점으로 iOS macOS 동종 출처 정책 무력화

Apple은 WebKit 엔진의 CVE-2026-취약점 번호를 통해 Safari 브라우저에서 Same-Origin Policy(SOP)를 무시하는 크로스 사이트 스크립팅(XSS) 취약점을 수정하며, iOS와 macOS 기기에서 악성 웹페이지가 로컬 데이터에 무단 접근할 수 있는 위험을 차단하였습니다.
이 취약점은 JavaScriptCore JIT 컴파일러의 타입 혼동(Type Confusion)을 악용한 것으로, 공격자가 동일 출처 가정을 깨고 인증된 세션 쿠키와 로컬 스토리지를 탈취할 수 있게 합니다.
Apple의 ‘Background Security Improvements’ 업데이트는 사용자 개입 없이 백그라운드에서 자동 적용되는 최초 사례로, 제로데이 공격에 대한 실시간 대응 메커니즘을 공식화합니다.
SOP 우회는 모바일 뱅킹과 기업 모바일 앱의 웹뷰 구성요소에서 치명적이며, 특히 iOS의 강력한 샌드박싱 환경에서도 브라우저 취약점이 전체 시스템 보안을 위협함을 드러냅니다.
이번 패치는 Apple의 보안 업데이트 주기를 단축시키는 신호로, 향후 WebKit 기반 브라우저 사용자 전 세계적으로 강제 업데이트를 통해 공급망 보안 수준을 상향 조정할 전망입니다.