구글이 픽셀 스마트폰 셀룰러 모뎀에서 발견된 취약점을 긴급 수정했다. 공격자가 사용자의 조작 없이 악용할 수 있는 ‘제로클릭’ 결함으로, 9월 보안 업데이트를 통해 총 110건의 취약점과 함께 패치가 이뤄졌다.
핵심 포인트
- 구글은 픽셀 셀룰러 모뎀 취약점 CVE-2026-58704가 제한적·표적형 공격에 악용됐을 수 있다고 경고했다.
- 이 제로클릭 결함은 사용자 동작 없이 인근 공격자가 권한을 상승시킬 수 있게 한다.
- 지원 대상 픽셀 기기에는 110건 취약점을 해결하는 2026년 9월 5일자 보안 패치 레벨이 순차 배포된다.
픽셀 모뎀 제로데이의 실체
구글은 화요일 공개한 픽셀 업데이트 공지에서 CVE-2026-58704로 추적되는 이 버그를 별도로 표시했다. 구글은 공지를 통해 해당 취약점이 “제한된 범위에서 표적형으로 악용되고 있을 가능성”을 언급하며, 모든 사용자가 가능한 한 빨리 최신 업데이트를 설치할 것을 강하게 권고했다.
문제의 취약점은 휴대폰을 이동통신망과 인터넷에 연결하는 핵심 부품인 셀룰러 모뎀에 자리 잡고 있다. 모뎀 코드의 로직 오류로 인해 권한 우회가 가능해지며, 이를 통해 인근에 있는 공격자가 기기 내 추가 실행 권한 없이도 권한을 높여 더 광범위한 제어를 시도할 수 있다. 사용자 조작은 전혀 필요 없다.
피해자는 링크를 클릭하거나 악성 파일을 여는 행위를 하지 않아도 침해를 당할 수 있다. 구글은 이 취약점의 심각도를 ‘높음’(High)으로 평가했으며, 패치 과정에서 픽셀 관련 다른 109건의 취약점도 함께 수정했다고 밝혔다. 모든 지원 대상 픽셀 기기는 2026년 9월 5일자 보안 패치 레벨을 받게 되며, 이 패치에는 9월 안드로이드 정기 보안 게시판에 포함된 내용도 반영됐다.
함께 보기: 비트코인 채굴, 50% 해시레이트 공백…AI로 쏠린 연산력
픽셀 모뎀, 스파이웨어 공격 통로 되나
구글은 이번 취약점을 악용한 공격자나 피해자, 제보자의 신원을 공개하지 않았으며, 공격이 언제부터 시작됐는지도 밝히지 않았다. 회사 대변인은 논평 요청에 응하지 않았다.
다만 양상은 익숙하다. 보안 분석가들은 이 취약점이 제로클릭이면서 모뎀 레벨에서 작동한다는 점, 그리고 구글이 사용한 신중한 표현을 근거로 상용 스파이웨어 업체나 국가 지원 해커가 연루된 과거 사례와 닮았다고 지적했다. 이들 업체는 주로 정부·사법당국에 데이터 탈취 도구를 판매하지만, 구글의 권고문 어디에도 특정 조직이나 국가를 지목하는 내용은 없다.
모뎀 취약점이 특히 주목을 받는 이유는 그 위치에 있다. 모뎀은 안드로이드 앱 보안 모델의 상당 부분 ‘아래’에서 동작하며, 통신사 네트워크와 오가는 주요 트래픽을 직접 처리한다. 보안 연구원들은 이런 구조 탓에 공격자가 악성 앱 설치나 피싱 링크 없이도 상대적으로 높은 권한에 접근할 수 있는 발판으로 모뎀 취약점을 활용할 수 있다고 설명했다.
이번 픽셀 모뎀 패치는 지난 6월 공개된 CVE-2025-48595 이후 이어지는 조치다. 당시 구글은 안드로이드 프레임워크 제로데이 취약점이 표적형 공격에 악용된 사실을 확인한 뒤, 안드로이드 14 이상 기기에서 공격자가 임의 코드를 실행하고 권한을 상승시킬 수 있는 문제를 수정했다.
다음 읽을거리: 시바이누, 쉬바리움 지갑 링크 복구에도 일주일 새 6% 약세
