2026년 Guardio Labs가 어도비 아크로뱃 크롬 확장 프로그램의 심각한 취약점(CVE-2026-48294)을 발견했습니다. 왓츠앱 웹 채팅 데이터 유출 가능성이 있어 즉시 업데이트가 필요합니다.
최신 2026년 보안 소식입니다. 널리 사용되는 어도비 아크로뱃 크롬 확장 프로그램에서 심각한 보안 취약점이 발견되어 수많은 사용자가 잠재적인 위협에 노출되었습니다. Guardio Labs의 보안 연구원들이 밝혀낸 이 취약점은 왓츠앱 웹(WhatsApp Web) 채팅 내용을 포함한 민감한 데이터의 유출을 가능하게 합니다. 현재 이 문제는 CVE-2026-48294로 추적되고 있으며, 모든 사용자의 즉각적인 조치가 요구됩니다.
CVE-2026-48294: 무엇이 문제인가
Guardio Labs는 이 취약점을 "범용 교차 사이트 스크립팅(UXSS) 클래스 교차 출처 데이터 유출 취약점"으로 명명했습니다. 이는 공격자가 특수 제작된 웹사이트를 통해 사용자의 다른 웹사이트 콘텐츠, 특히 왓츠앱 웹의 내용을 읽을 수 있다는 의미입니다. "HermeticReader"라고 불리는 이 취약점은 확장 프로그램의 특정 통합 구성 요소인 "Hermes"에서 발견되었습니다. 이 버그는 왓츠앱과의 통합 과정에서 발생하는 것으로 분석되었습니다. 심각도는 10점 만점에 7.4점으로 평가되며, 이는 사용자 데이터에 대한 상당한 위험을 내포합니다.
공격 방식 상세 분석
공격은 비교적 단순하지만 매우 효과적입니다. Guardio Labs는 이를 "모욕적으로 평범한 설정"이라고 표현했습니다. 공격자는 검색 결과 페이지나 마케팅 이메일처럼 위장한 악성 랜딩 페이지를 만들고 이메일, 인스턴트 메시징, SEO 스푸핑 등 다양한 방법으로 피해자에게 유포합니다. 피해자가 취약한 버전의 어도비 아크로뱃 확장 프로그램을 설치하고 왓츠앱 웹이 다른 탭에 로드된 상태에서 이 악성 페이지를 열면, 확장 프로그램의 취약한 코드 경로가 활성화됩니다. 이는 공격자가 피해자의 왓츠앱 웹 전체 데이터에 접근하게 만듭니다.
왓츠앱 웹 데이터 유출의 심각성
이 취약점은 왓츠앱 웹에 표시되는 모든 정보를 공격자의 손에 넘길 수 있습니다. 여기에는 채팅 목록, 연락처 이름, 메시지 내용, 프로필 정보, 그리고 현재 열려 있는 대화 내용이 모두 포함됩니다. 특히 위험한 것은 공격자들이 이 취약점을 이용해 왓츠앱으로 전송되는 일회성 비밀번호(OTP)까지 탈취할 수 있다는 분석입니다. 이는 금융 거래나 계정 인증 과정에도 심각한 위협이 될 수 있습니다. 전 세계 3억 1천 4백만 명 이상의 확장 프로그램 사용자들이 잠재적인 위험에 처해 있습니다.
어도비의 신속한 대응과 패치
Guardio Labs의 보고 후 어도비는 즉시 이 문제를 인정하고 신속하게 대응했습니다. 문제 해결을 위한 패치가 포함된 버전 26.7.2.0을 공개했으며, 현재 다운로드 가능합니다. 이전 버전 26.5.2.2 및 그 이전 버전 사용자들은 모두 이 취약점에 노출되어 있었으므로, 최신 버전으로의 업데이트가 필수적입니다. 어도비는 Guardio Labs 연구진에게 취약점 발견 및 보고에 대한 감사를 표했습니다.
사용자 조치: 지금 바로 업데이트하세요
만약 구글 크롬용 어도비 아크로뱃 확장 프로그램을 사용하고 있다면, 즉시 최신 버전 26.7.2.0으로 업데이트할 것을 강력히 권장합니다. 업데이트는 크롬 웹 스토어를 통해 쉽게 진행할 수 있습니다. 확장 프로그램 목록에서 어도비 아크로뱃 확장 프로그램을 찾아 ‘업데이트’ 버튼을 클릭하거나, 자동으로 업데이트되도록 설정되어 있는지 주기적으로 확인하세요. 이러한 정기적인 확장 프로그램 업데이트는 온라인 보안을 지키는 가장 기본적인 습관입니다.
미래의 보안을 위한 경계와 예방
2026년 현재에도 사이버 위협은 끊임없이 진화하고 있으며, 예상치 못한 경로를 통해 사용자 데이터를 노립니다. 이번 어도비 아크로뱃 확장 프로그램 취약점 사례는 우리가 일상적으로 사용하는 소프트웨어와 확장 프로그램의 보안에 얼마나 주의를 기울여야 하는지 다시 한번 상기시켜 줍니다. 항상 신뢰할 수 있는 출처에서만 프로그램을 다운로드하고, 보안 업데이트를 소홀히 하지 않는 것이 중요합니다. 또한, 출처를 알 수 없는 이메일 링크나 메시지를 클릭하는 것에 대한 경계를 늦추지 않는 습관이 필요합니다.
