구글 픽셀 셀룰러 모뎀 권한 상승 취약점 CVE-2026-58704의 메커니즘과 제한적 표적 공격 정황, CISA KEV 등재까지의 대응 전개를 정리한다.
| 항목 | 값 |
|---|---|
| CVE | |
| 제품 | Google Pixel 셀룰러 모뎀 (지원 전체 기종, 구체 모델 미공개) |
| 유형 | 권한 상승 · CWE-285(부적절한 권한 부여) · CWE-693(보호 메커니즘 실패) |
| 심각도 | Google 등급 High · CVSS 3.1 8.0(언론 보도) / 8.8(NVD 등재) |
| 공개일 | 2026-09-15 (Android 보안 게시판) |
| 상태 | 제한적·표적 공격 정황 확인(Google) · 패치 레벨 2026-09-05 이상 적용 시 해결 · CISA KEV 등재(2026-09-16) |
는 구글 픽셀 스마트폰의 셀룰러 모뎀에서 발견된 권한 상승 취약점이다. Android 보안 게시판은 "로직 오류로 인한 권한 우회 가능성이 있으며, 추가 실행 권한 없이도 인접(proximal/adjacent) 위치에서 원격으로 권한을 상승시킬 수 있다"고 설명한다. 사용자가 링크를 클릭하거나 앱을 설치할 필요조차 없다.
모뎀은 스마트폰과 이동통신망을 연결하는 하위 계층 컴포넌트다. 운영체제나 앱과 분리된 별도의 프로세서에서 동작하는 경우가 많아, 이 계층의 취약점은 일반적인 백신·EDR의 탐지 범위 밖에 있다. 그만큼 한 번 뚫리면 상위 운영체제 권한까지 영향을 줄 수 있는데도 발견도, 방어도 상대적으로 어렵다.
NVD와 CVE.org 양쪽 모두 이 취약점의 근본 원인을 CWE-285(부적절한 권한 부여)와 CWE-693(보호 메커니즘 실패)으로 분류했다. 쉽게 풀면, 모뎀 소프트웨어가 특정 요청을 처리하기 전에 권한을 검증하는 로직에 결함이 있어, 정상적으로는 거부돼야 할 요청이 통과된다는 뜻이다.
CVSS 벡터(NVD 등재 기준: AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)를 보면 공격 조건이 낮다. 공격자는 별도 권한(PR:N)이나 사용자 개입(UI:N) 없이, 인접 네트워크(AV:A, 예컨대 근접 무선 신호) 위치에서 낮은 복잡도(AC:L)로 기밀성·무결성·가용성 전체(C:H/I:H/A:H)에 영향을 줄 수 있다. 다만 이 8.8이라는 점수는 NVD·CVE.org API에 등재된 값이고, 구글 자체 게시판과 대다수 언론은 CVSS 8.0으로 보도했다는 점은 밝혀둘 필요가 있다 — 어느 쪽도 추정치가 아니라 실제 서로 다른 두 출처가 각각 발표한 숫자다.
위 흐름은 공개된 설명을 바탕으로 재구성한 개념도일 뿐, 실제 익스플로잇 절차나 페이로드를 나타내지 않는다.
구글은 이 취약점이 "제한적이고 표적화된 방식으로 악용되고 있다는 정황이 있다"고 밝혔을 뿐, 구체적인 공격 주체나 피해 규모는 확인해주지 않았다. 언론 일각에서는 사용자 상호작용 없이 인접 신호만으로 권한을 얻는 방식이 상업 스파이웨어의 전형적 패턴과 닮았다고 추정하지만, 이는 어디까지나 추정이며 구글이 공식적으로 특정 배후를 지목한 적은 없다.
패치 자체는 게시판 공개보다 열흘 앞서 배포됐지만, 실사용 악용 사실이 알려진 건 그 후였다. CISA가 KEV(악용이 확인된 취약점) 목록에 올리면서 연방기관에 준 조치 시한은 단 3일로, 통상적인 KEV 조치 기한보다 훨씬 짧다. 그만큼 실사용 악용에 대한 신뢰도를 높게 판단했다는 신호로 읽힌다.
모뎀 계층 취약점은 엔드포인트 로그보다 패치 레벨 자체가 탐지·판별의 실질적 기준이 된다. 기업 환경에서는 MDM(모바일 기기 관리) 솔루션이 보고하는 보안 패치 레벨이 2026-09-05 이전이면 취약한 상태로 식별된다. 모뎀 베이스밴드 계층은 일반 EDR의 가시성 밖에 있어, 이 계층에서 발생하는 이상 행위는 통신사나 단말 제조사 쪽의 원격 진단 로그를 통해서만 포착되는 경우가 많다. CISA의 KEV 등재 자체도 방어자 입장에서는 "실제 악용이 확인된 자산"을 우선순위로 걸러내는 탐지 신호로 활용할 수 있다.
국내 픽셀 점유율은 낮은 편이지만, 사용자 상호작용 없이 인접 무선 신호만으로 권한을 상승시키는 모뎀 레벨 제로데이의 구조는 국내에서 널리 쓰이는 통신 칩셋에서도 유사한 형태로 재현될 수 있다는 점에서 주목할 만하다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.