iOS 27.2.1 공지서 worse_query 빠져…연구자 미수정 주장

애플(Apple, $AAPL)은 iOS 27.2.1과 iPadOS 27.2.1을 공개했지만, 보안 공지에 가상자산 지갑 정보 노출 위험이 제기된 ‘worse_query’는 언급하지 않았다. 애플은 패치 여부를 확인하지 않았고, 현재 공개된 정보만으로 수정 여부를 단정할 수 없다.

애플은 11월 9일 업데이트를 배포했다. 보안 공지에는 AirPlay, App Intents, Bluetooth, brotli, CoreUtils, Messages, rapportd 관련 수정 항목 9개가 실렸다.

공개 연구자 forcequitOS는 11월 10일 X 게시물에서 iOS 27.2.1과 iOS 27.3 베타 1에서도 문제가 수정되지 않았다고 주장했다. 이는 연구자의 판단으로, 애플의 패치 확인과는 구분해야 한다.

앞서 본지는 애플의 보안 공지에 해당 취약점의 수정 여부가 명시되지 않았다고 전했다. 이번에 나온 forcequitOS의 주장은 업데이트 이후 상황에 관한 후속 발언이다.

슬로우미스트(SlowMist)의 23pds는 처음에는 iOS 27.2.1이 취약점을 막는다고 했다가, forcequitOS의 반박 뒤 착오를 인정했다. 앞서 슬로우미스트가 가상자산 이용자에게 iOS 업데이트를 권고한 사실도 보도됐다. 업데이트 권고가 특정 취약점의 수정 확인을 뜻하지는 않는다.

애플 공지에는 앱이 민감한 사용자 데이터에 접근할 수 있는 App Intents 문제도 기재됐다. 이 항목에는 CVE-2026-113963이 붙었으며, 애플은 이를 worse_query와 같은 문제라고 설명하지 않았다.

연구자 저장소는 worse_query를 iOS 앱별 데이터 접근을 분리하는 보안 경계를 우회하는 개발자용 개념증명(PoC)으로 설명한다. 악성 앱이 기기에서 실행되고 필요한 조건을 갖추면 다른 앱의 로컬 파일에 접근할 수 있다는 내용이다.

저장소는 앱에 App Group 컨테이너를 설정해야 하며, 해당 코드만으로는 유용하지 않다고 적었다. 탈옥 기법과도 무관하다고 명시했다.

지갑 정보 노출 위험은 복구 문구나 개인키가 기기 안에 어떤 형태로 저장돼 있는지에 달렸다. 파일에 접근할 수 있다는 사실만으로 모든 지갑의 키가 노출되거나 자산이 이동한다고 볼 수는 없다.

연구자의 공개 저장소에는 특정 지갑 앱의 피해나 실제 자산 탈취 사례가 제시되지 않았다. 공개된 설명이 다루는 것은 iOS 기기에서 앱이 로컬 파일에 접근할 수 있는 조건이다.

표기된 버전은 자료마다 다르다. 연구자 저장소는 PoC 대상 버전을 iOS 26.0~26.7.2와 27.2로 적었고, 바이낸스(Binance)는 X 게시물에서 영향 가능 버전으로 26.7.1·27.0.1·27.2를 열거했다. 두 목록은 같은 기준의 확정 영향 범위로 합칠 수 없다.

바이낸스는 X 게시물에서 출처가 불분명한 앱을 삭제하고 운영체제와 앱을 공식 경로로 업데이트하라고 권고했다. 기기 침해가 의심되면 깨끗한 기기에서 새 지갑을 만들고 자산을 옮긴 뒤 활성 로그인 세션을 해제하라고 안내했다.