30개 이상의 시스템 핵심 취약점 해결

애플은 7월 29일 iOS 18.6 및 iPadOS 18.6 업데이트를 정식 배포하며, WebKit, CoreMedia, Accessibility 등 핵심 시스템 구성 요소에 존재하던 30개 이상의 보안 취약점을 수정했다. 이들 중 일부는 실제 악용 사례가 확인된 바 있으며, 사용자 보안에 큰 위협이 될 수 있는 요소였다. 이번 보안 업데이트는 iPhone XS 및 iPad 7세대 이상 모델에서 이용 가능하다.

WebKit 렌더링 엔진의 심각한 메모리 오류 수정

이번 패치에서 가장 주목할 점은 WebKit 렌더링 엔진에서 발생하던 다수의 메모리 관련 결함이다. 특히 Use-After-Free 버그 및 Out-of-Bounds 접근 등으로 인해 악의적으로 조작된 웹페이지를 통해 Safari 브라우저가 비정상 종료되거나 민감한 정보가 노출될 수 있는 문제가 있었다. 이 중 CVE-2025-6558로 식별된 취약점은 원래 Chromium 엔진에서 유래된 것으로, 미국 사이버보안청(CISA)도 실제 공격에 사용된 사례가 있다고 공식 발표한 바 있다. 해당 결함은 조작된 HTML을 이용해 시스템의 샌드박스를 우회할 수 있는 가능성도 제기된 바 있다.

CoreMedia와 메일 시스템, 접근성 기능의 보안 결함도 해결

CoreMedia 재생 프레임워크에서는 CVE-2025-43230으로 식별된 취약점이 수정되었는데, 이는 권한 확인 없이 민감한 사용자 데이터에 접근할 수 있는 가능성을 내포하고 있었다. 또한 메일 시스템에서는 ‘원격 이미지 로드’ 기능이 꺼져 있음에도 외부 콘텐츠가 로드되는 문제(CVE-2025-31276)도 함께 해결됐다.

접근성(Accessibility) 컴포넌트에서는 두 가지 문제가 수정되었다. 하나는 마이크나 카메라 사용 시 표시되는 프라이버시 아이콘이 제대로 작동하지 않는 문제였고, 또 다른 하나는 VoiceOver 기능을 통해 암호가 유출될 가능성이 있는 취약점이었다.

이 외에도 afclip, CFNetwork, ICU, ImageIO, libnetcore, libxml2, libxslt, Metal, Model I/O 등 다양한 시스템 구성요소에서 시스템 안정성과 개인정보 보호에 영향을 줄 수 있는 문제들이 대거 수정되었다.

macOS 15.7 및 14.8도 보안 중심 업데이트 예고

한편, macOS 관련 소식도 주목할 만하다. 개발자들은 최근 macOS 15.7 릴리즈 후보(Release Candidate, RC) 버전에 잠시 접근할 수 있었으며, 이는 아직 신선한 상태인 macOS 15.6이 공개된 지 얼마 지나지 않은 시점이다.

현재 애플 개발자 포털에서는 macOS 15.7 베타 버전이 더 이상 표시되지 않으며, 대신 macOS 26, iOS 26 등의 최신 베타 버전 및 iOS 18.6, macOS 15.6의 정식 이미지 파일만이 제공되고 있다. 이와 관련해 9to5Mac 등 주요 IT 매체는 macOS 15.7이 macOS 26 개발 버전에 포함된 보안 패치를 이전 버전으로 이식(백포팅)한 형태일 것이라는 관측을 내놓고 있다.

또한 macOS 14.8 RC 버전도 함께 포착되었으며, 애플은 두 버전 모두 “중요한 보안 수정을 포함하고 있으며 모든 사용자에게 권장된다”고만 밝히고 있다. 이는 애플이 단순 보안 업데이트 시 자주 사용하는 공식 문구다.

신속 보안 대응(RSR) 대신 백포팅 전략 채택

애플은 보안 이슈가 발생할 경우 ‘신속 보안 대응(Rapid Security Response, RSR)’ 방식으로 빠르게 패치를 배포할 수 있는 구조를 갖추고 있다. 그러나 RSR은 실질적으로 매우 드물게 사용되며, 대부분의 경우 기존 소프트웨어 버전을 기반으로 한 일반 업데이트나 백포팅 방식이 선호된다.

현재로서는 macOS 26 정식 출시 전까지 macOS 15.7이 마지막 주요 업데이트가 될 가능성이 높다. 이 업데이트는 단순한 보안 패치를 넘어 macOS Sequoia 운영체제의 사실상 마지막 기능 업데이트가 될 전망이다. 이후 9월에 macOS 26이 정식 공개되면, 기존 macOS 15 시리즈에는 보안 관련 수정만이 제공될 것으로 예상된다.