화면 공유를 켠 원격 맥이 CVE-2026-65400에 해당하는지 불확실하신가요?
빠른 조치: 먼저 macOS 버전과 빌드를 Apple 보안 공지에 대조한 다음, 화면 공유와 원격 관리가 어디까지 노출되는지 확인하세요. SSH 접속만으로 이 취약점의 대상이라고 판단하지 말고, 패치 여부가 불분명하거나 이상 접속이 보이면 화면 공유 노출을 제한하고 사고 대응 절차를 시작하세요.
원격 맥이나 CI 호스트의 업데이트와 접근 설정을 관리하는 엔지니어에게 필요한 점검입니다.
Apple 플랫폼 빌드 노드를 운영하거나 개발 인프라의 수정 증거와 대응 경로를 관리하는 팀에도 해당합니다.
마지막 업데이트: 2026년 10월 26일. Apple 보안 안내와 업데이트 목록, CISA 공지를 대조해 확인했습니다.
CVE-2026-65400 원격 맥 보안 자체 점검의 범위
Apple은 CVE-2026-65400을 macOS 화면 공유의 인증 문제로 설명합니다. 따라서 모든 원격 접속 방식이나 SSH가 이 취약점의 영향을 받는다고 확대 해석해서는 안 됩니다. 영향을 받는 시스템 계열과 수정 사항은 Apple의 CVE 보안 안내에서 확인하고, macOS 보안 업데이트 목록에서 사용하는 계열의 공지와 후속 업데이트를 대조하세요.
Apple은 Sonoma 보안 콘텐츠와 Sequoia 보안 콘텐츠를 포함해 여러 macOS 계열의 수정 정보를 공개했습니다. 현재 설치된 버전이 오래된 계열인지, 공지에 표시된 수정 상태를 충족하는지는 계열별로 확인해야 합니다. 이 안내에서 확인되지 않은 특정 버전 번호를 보편적인 수정 기준으로 간주하지 마세요.
CISA는 이 CVE를 2026년 8월 18일 KEV 목록에 추가했습니다. 이는 CISA의 KEV 관련 공지로 확인할 수 있는 사실입니다. 다만 목록 등재 사실만으로 모든 원격 맥이 침해됐거나, 특정 호스트에서 공격이 발생했다고 판단할 수는 없습니다.
Apple 공지에서 수정 버전을 확인할 수 없다면 추측으로 완료 처리하지 마세요. 관리 네트워크에서 화면 공유 접근을 제한하고, 담당자가 해당 macOS 계열의 최신 공지를 확인할 때까지 상태를 미확인으로 남기세요.
업데이트 상태가 불분명할 때는 빌드부터 확인하세요
첫 단계: 시스템 버전과 빌드 기록하기
대상 맥에서 시스템 설정의 일반 정보 또는 시스템 정보로 macOS 버전과 빌드를 확인하고, 호스트 이름과 점검 시점을 함께 기록하세요. Apple은 macOS 버전과 빌드 정보를 확인하는 방법을 안내합니다. CI 노드는 같은 이미지에서 만들어졌더라도 개별 호스트의 업데이트 상태가 다를 수 있으므로, 노드별로 확인해야 합니다.
다음 단계: Apple 공지와 일치 여부 대조하기
기록한 버전과 빌드를 Apple의 CVE 안내, 해당 macOS 계열의 보안 콘텐츠, 최신 보안 업데이트 목록에 대조하세요. 후속 시스템 버전이 설치돼 있더라도 CVE 수정 여부를 공지에서 확인해야 합니다. 확인 결과에는 참고한 공지와 판단 근거를 남기세요.
수정되지 않았거나 판단할 수 없다면
조직의 유지보수 시간에 해당 macOS 계열에 적용되는 업데이트를 설치하고 재시작이 필요한지 확인하세요. 업데이트 뒤에는 버전과 빌드를 다시 기록해 공지의 수정 정보와 재대조합니다. CI 호스트는 대표적인 빌드 작업을 실행해 서명, 테스트, 산출물 생성 등 팀의 필수 작업이 계속 정상인지 확인하세요.
비밀번호 변경이나 허용 사용자 목록 축소는 접근 위험을 낮추는 보완책일 수 있지만, 보안 업데이트를 대신하지 않습니다. 업데이트가 완료되지 않았다면 패치 완료로 기록하지 마세요.
화면 공유와 원격 관리가 켜져 있다면 실제 도달 범위를 확인하세요
macOS 설정에서 화면 공유와 원격 관리가 각각 활성화됐는지, 접근을 허용한 사용자가 누구인지 확인하세요. 두 기능은 화면을 원격에서 제어하는 접근 경로이므로, 업무상 필요와 허용 대상을 분리해 기록해야 합니다. Apple의 화면 공유 설정 안내와 원격 관리 포트 참고 자료를 함께 살펴보세요.
그다음 호스트 방화벽, 라우터 규칙, 클라우드 네트워크의 인바운드 규칙을 확인합니다. 맥 내부에서 서비스가 켜져 있다는 사실과 인터넷에서 실제로 연결할 수 있다는 사실은 다릅니다. 반대로 화면 공유 허용 사용자를 제한했더라도 네트워크 경계가 넓게 열려 있다면 노출 위험은 남습니다. 승인된 관리 경로 밖에서 도달 가능한지 네트워크 담당자와 검증하고, 확인한 경로와 범위를 기록하세요.
| 접근 방식 | 주로 확인할 설정 | 위험 판정과 조치 |
|---|---|---|
| 화면 공유가 꺼져 있고 업무상 필요하지 않음 | 시스템 설정과 네트워크 규칙에서 비활성 상태 확인 | 낮음. 설정 변경 절차에 따라 꺼진 상태를 유지합니다. |
| 화면 공유가 켜져 있고 신뢰된 관리망에서만 접근 가능 | 허용 사용자, 방화벽, 라우팅 범위 확인 | 보통. 허용 대상과 관리망 경계를 기록하고 정기적으로 재검토합니다. |
| 화면 공유나 원격 관리가 켜져 있고 불특정 네트워크에서 접근 가능 | 외부 인바운드 규칙과 실제 도달성 확인 | 높음. 필요하지 않다면 변경 절차에 따라 노출을 제한하고 패치 상태를 우선 확인합니다. |
| 접근 경로나 패치 상태를 확인할 수 없음 | 담당자, 네트워크 규칙, Apple 공지 확인 여부 기록 | 미확인. 확인 전까지 안전하다고 판정하지 말고 접근을 제한합니다. |
| 서비스 | 이 CVE와의 관계 | 별도로 확인할 항목 |
|---|---|---|
| 화면 공유 | Apple이 CVE 설명에서 지목한 서비스 | 업데이트 적용 여부, 활성 상태, 허용 사용자, 네트워크 노출 |
| 원격 관리 | 그래픽 원격 관리 경로로 설정 여부 확인 필요 | 조직에서 사용하는 관리 기능, 접근 범위, 승인 대상 |
| SSH | 이 CVE가 SSH 자체에 영향을 준다고 단정할 근거가 아님 | 활성 상태, 로그인 허용 범위, 빌드 작업의 필요성 |
SSH와 화면 공유는 접근 경로를 따로 평가하세요
SSH와 화면 공유의 차이는 접속 목적과 노출되는 서비스가 다르다는 점입니다. SSH는 원격 로그인이나 명령 실행에 사용되며, 화면 공유는 그래픽 화면을 원격으로 보고 조작하는 경로입니다. Apple은 원격 로그인과 SSH 설정에서 원격 로그인 설정을 설명합니다.
따라서 SSH만 사용하는 빌드 노드라면 SSH 작업이 정상이라는 사실만으로 화면 공유 상태를 확인했다고 볼 수 없습니다. 화면 공유와 원격 관리의 설정을 별도로 점검하세요. 반대로 화면 공유 취약점 공지만 보고 SSH를 중단하면, 필요한 빌드나 배포 작업을 불필요하게 막을 수 있습니다. 서비스별 활성화 여부와 접근 규칙을 따로 적고, 그래픽 원격 접근을 제한한 상태에서도 CI가 작동하는지 검증하세요.
원격 맥 자가 점검 FAQ
CVE-2026-65400은 어떤 macOS 버전에 해당하나요?
Apple은 여러 macOS 계열에 대한 수정 정보를 공개했습니다. 적용 여부는 설치된 계열의 보안 콘텐츠와 최신 업데이트 목록을 대조해야 합니다. 이후에 나온 버전은 자동으로 수정됐다고 추정하지 말고, Apple의 최신 공지에서 해당 CVE와 수정 내용을 확인하세요.
화면 공유 취약점이 수정됐는지 어떻게 확인하나요?
현재 macOS 버전과 빌드를 기록한 뒤 해당 계열의 Apple 보안 공지 및 업데이트 목록과 비교하세요. 설치 기록만으로 판단하지 말고, 현재 빌드가 수정 내용을 포함하는지 확인해야 합니다. CI 노드는 업데이트 뒤 실제 빌드 작업까지 실행하고 결과를 증거로 남기세요.
SSH만 켠 맥도 화면 공유를 확인해야 하나요?
SSH 자체가 이 CVE의 영향을 받는다고 Apple이 설명한 것은 아닙니다. 그래도 호스트에서 화면 공유나 원격 관리가 별도로 켜져 있지 않은지 확인하세요. SSH 작업을 유지하면서 그래픽 원격 접속만 제한할 수 있는지 시험하고, 각 서비스의 접근 규칙은 따로 기록하는 편이 안전합니다.
화면 공유가 인터넷에 노출됐는지 어떻게 검증하나요?
시스템 설정의 활성 여부와 허용 사용자만으로 외부 노출을 판단할 수 없습니다. 호스트 방화벽, 라우터 또는 클라우드 네트워크의 인바운드 규칙을 함께 확인하고, 승인된 외부 경로에서 도달 가능한지 검증하세요. 점검을 수행한 위치, 규칙, 결과를 기록해야 합니다.
이상 접속이 보이면 조사와 증거 보존을 먼저 하세요
업데이트가 설치됐거나 현재 의심스러운 화면이 보이지 않는다는 사실만으로 과거 접근이 없었다고 결론 내릴 수는 없습니다. 알 수 없는 원격 세션이나 계정, 예상하지 못한 접근 흔적이 있다면 조직의 사고 대응 절차에 따라 로그와 관련 증거를 보존하고 담당자에게 알리세요. 조사가 시작되기 전에 로그를 삭제하거나 계정을 정리하면 원인 파악에 필요한 자료가 사라질 수 있습니다.
팀에서는 호스트별로 시스템 버전과 빌드, 참조한 Apple 공지, 화면 공유와 원격 관리 상태, 허용 사용자, 네트워크 범위, 업데이트 후 CI 검증 결과를 한 기록으로 묶어 두세요. CISA KEV 등재 여부는 위험 우선순위 검토에 참고하되, 개별 호스트의 침해 여부를 대신 판단하는 근거로 사용하지 마세요.
이 방식으로도 화면 공유 노출이나 과거 접근 여부를 확인할 수 없다면 보안 담당자와 네트워크 담당자의 검토를 요청하세요. 또 원격 맥 사용 관련 안내를 통해 접속 방식과 운영 조건을 먼저 확인할 수 있습니다.
자체 맥이나 현재 운영 환경을 계속 쓰는 편이 적합한 팀도 있습니다. 하지만 여분의 애플 실리콘 장비를 직접 마련하면 구매와 유지보수 부담이 생기고, 기존 리눅스 서버는 macOS 전용 빌드 도구를 대체하지 못하며, 가상 환경은 실제 맥 호스트와 같은 조건의 검증을 보장하지 않습니다. 보안 검토와 운영 책임은 어떤 환경에서도 필요합니다. 다만 일시적인 테스트나 별도 CI 검증용 맥이 필요한 경우라면, 실제 원격 맥 접근 조건을 zshmac 이용 안내에서 확인해 보세요. 장기적으로 계속 켜 두어야 하거나 물리 장치 연결이 필요한 작업이라면 임대보다 자체 장비가 더 맞을 수 있습니다.
자주 묻는 질문
CVE-2026-65400은 어떤 macOS에 적용되나요?
Apple은 이 취약점의 영향을 화면 공유 인증 문제로 설명하고, 여러 macOS 버전에 대한 수정 정보를 공개했습니다. 적용 버전과 수정 상태는 사용하는 macOS 계열에 따라 다를 수 있으므로 Apple의 취약점 안내와 보안 업데이트 목록에서 해당 계열의 항목을 직접 대조하세요. 이후에 나온 시스템 버전도 자동으로 안전하다고 단정하지 말고 최신 공지를 확인해야 합니다.
원격 맥에서 화면 공유 취약점이 수정됐는지 어떻게 확인하나요?
먼저 시스템 설정의 일반 정보나 시스템 정보에서 macOS 버전과 빌드 정보를 기록하세요. 그 값을 Apple의 CVE 안내와 해당 macOS 보안 공지, 보안 업데이트 목록에 대조합니다. 업데이트 설치 기록만으로 끝내지 말고 현재 빌드가 수정 내용을 포함하는지 확인하고, CI 호스트라면 실제 빌드 작업도 다시 실행해 결과를 남기세요.
SSH만 켠 맥도 화면 공유 설정을 확인해야 하나요?
Apple이 설명한 CVE-2026-65400의 대상은 화면 공유이며, 이 설명만으로 SSH 자체가 같은 취약점의 영향을 받는다고 볼 수는 없습니다. 그래도 호스트에 화면 공유나 원격 관리가 켜져 있는지 따로 확인하세요. SSH 작업이 정상이라면 그래픽 원격 접속을 제한한 뒤에도 자동화 작업이 유지되는지 시험하고, 각 서비스의 접근 규칙을 별도로 기록하면 됩니다.
원격 맥의 화면 공유가 인터넷에 노출됐는지 어떻게 확인하나요?
macOS에서 화면 공유와 원격 관리의 활성화 여부 및 허용 사용자를 확인한 다음, 방화벽과 라우터 또는 클라우드 네트워크의 인바운드 규칙을 함께 살피세요. 내부 설정만으로 외부에서 도달할 수 있는지 확정할 수는 없습니다. 관리 네트워크 밖에서 승인된 방식으로 연결 가능성을 점검하거나 네트워크 담당자에게 규칙 검증을 요청하고, 확인 결과와 점검 범위를 기록하세요.
더 읽어보기
원격 맥 보안 점검, 전용 장비에서 시작하세요
zshmac은 가상 머신이 아닌 전용 물리 맥을 제공해 점검과 빌드에 필요한 자원을 단독으로 사용하실 수 있습니다.