구글이 픽셀 스마트폰의 셀룰러 모뎀에서 발견된 취약점을 긴급 수정했다. 공격자가 사용자의 조작 없이도 악용할 수 있는 제로클릭(Zero‑click) 버그로, 9월 보안 업데이트에 포함된 110건 취약점 패치 가운데 하나다.
핵심 포인트
- 구글은 픽셀 셀룰러 모뎀 취약점 CVE-2026-58704가 제한적·표적형 공격에 악용됐을 가능성이 있다고 경고했다.
- 사용자의 클릭이나 조작이 전혀 필요 없는 제로클릭 결함으로, 인근 공격자가 권한을 상승시킬 수 있다.
- 지원 중인 모든 픽셀 기기는 110개 취약점을 해결한 2026년 9월 5일자 보안 패치 수준을 순차적으로 받게 된다.
픽셀 모뎀 제로데이, 어디에 숨어 있었나
구글은 화요일 공개한 픽셀 업데이트 공지에서 이번 버그를 CVE-2026-58704로 명명하고 주의를 당부했다. 구글은 공식 게시글을 통해 밝혔듯, 해당 취약점이 제한된 범위에서 표적 공격에 이용되고 있다는 정황이 있다며 사용자들에게 가능한 한 빨리 기기에 새 업데이트를 적용하라고 촉구했다.
문제의 취약점은 스마트폰이 이동통신망·모바일 인터넷에 접속하도록 하는 핵심 부품인 셀룰러 모뎀 내부에 존재한다. 모뎀 코드에 있는 논리 오류로 인해 권한 우회가 허용될 수 있고, 이를 통해 인근의 공격자가 기기에서 추가 실행 권한 없이도 자신의 권한을 상승시킬 수 있다. 사용자와의 상호작용은 전혀 필요 없다.
다시 말해, 공격 성공을 위해 피해자가 링크를 클릭하거나 악성 파일을 열어볼 필요조차 없다. 구글은 이 취약점에 ‘높은 심각도’ 등급을 매기고 다른 109건의 픽셀 관련 취약점과 함께 패치 했다. 지원 대상인 모든 픽셀 기기는 광범위한 9월 안드로이드 보안 공지를 포괄하는 2026년 9월 5일자 보안 패치 수준을 받게 된다.
관련 기사: 비트코인 채굴, 50% 해시레이트 공백…AI로 설비 쏠림
모뎀 제로클릭, ‘스파이웨어’ 공격에 제격
구글은 이번 공격과 관련해 공격 주체, 피해 대상, 취약점을 처음 발견한 연구자 정보를 공개하지 않았다. 공격이 언제부터 시작됐는지도 밝히지 않았으며, 대변인 역시 코멘트 요청에 응답하지 않은 상태다.
다만 전개 양상은 익숙하다. 보안 분석가들은 제로클릭·모뎀 수준 취약점이라는 특성과 구글이 조심스러운 문구를 택한 점을 들어, 상용 스파이웨어 업체나 국가 지원 해커와 연루됐던 과거 사례와 유사하다고 지적했다. 이런 업체들은 정부·수사기관 등을 상대로 데이터 탈취용 도구를 판매하는 경우가 많지만, 구글의 공지에는 특정 단체와 연결되는 직접적 단서는 없다.
모뎀 취약점은 특히 주목을 받는다. 모뎀은 안드로이드 앱 보안 모델의 많은 부분보다 더 낮은 계층에서 동작하며, 통신사 네트워크와 오가는 트래픽을 처리한다. 이 때문에 공격자는 악성 앱 설치나 피싱 링크 없이도 고권한 영역에 접근할 수 있다고 보안 연구원들은 설명한다.
이번 픽셀 패치는 지난 6월 안드로이드 프레임워크 제로데이 CVE-2025-48595에 대한 수정 조치의 연장선에 있다. 당시 구글은 안드로이드 14 이상 기기에서 코드를 실행하고 높은 권한을 얻을 수 있는 취약점이 표적형 공격에 악용되자, 픽셀 기기에 대한 패치 를 긴급 배포한 바 있다.
다음 읽을거리: 시바이누, 쉬바리움 지갑 링크 복구했지만 일주일 새 6% 약세
