줌 'Zoomsday' 제로클릭 취약점, AI가 24시간 만에 발견…보안 패러다임 전환 경고

• 근본 원인(Root Cause): 줌 클라이언트의 주석 함수(annotator function)에서 누락된 경계 검사(missing bounds check)로 인해 **버퍼 오버라이트(buffer over-write)**가 발생합니다. 구체적으로, 줌은 텍스트 주석 역직렬화를 위해 128바이트 크기의 고정 버퍼 4개를 할당했지만, 입력 길이를 제대로 검증하지 않아 오버플로우(overflow)가 가능했습니다.
• 공격 벡터(Attack Vector): 이미 회의에 참여하고 있는 공격자가 (주석이 활성화된 화면 공유 중에) 피해자의 단 한 번의 클릭도 없이 다른 참가자의 기기에서 코드를 조용히 실행할 수 있었습니다.
• 심각도 등급: CVSS v4.0 기준 9.0(Critical), CVSS v3.x 기준 9.8입니다. 줌 자체 보안 게시판에서는 '높음(High)' 심각도로 분류했습니다.
• 함께 패치된 다른 CVE: CVE-2026-53414(권한 상승), CVE-2026-53415(주석 엔진의 두 번째 제로클릭 RCE) 등 총 4개의 취약점이 함께 패치되었습니다.

AI는 어떻게 24시간 만에 Zoomsday를 발견했나?

자율 공격적 보안(Autonomous Offensive Security) 기업인 A Security의 연구원들은 공개된 최첨단 AI 모델(publicly available frontier AI models)을 사용해 이 결함을 발견하고 무기화했습니다.

• 익스플로잇까지 소요된 시간: 24시간 미만.
• 사용된 프롬프트 수: 공개 AI 모델에 단 20번 미만의 프롬프트 입력.
• 과정: AI가 줌의 주석 역직렬화 로직을 분석하고, 누락된 경계 검사를 식별한 후, 작동하는 익스플로잇 체인을 생성했습니다. 이 모든 과정은 사람이 수동으로 바이너리를 리버스 엔지니어링하지 않고 이루어졌습니다. A Security의 시니어 취약점 연구원 Idan Levcovich는 SC Media와의 인터뷰에서 연구팀이 특히 Anthropic의 Claude Opus 4.7 및 Opus 4.8 모델을 사용했다고 밝혔습니다.
• 발견 타임라인: 취약점은 2026년 6월 8일에 발견되었으며, 줌 7.0.5에 대한 작동 익스플로잇은 다음 날인 6월 9일에 확인되었습니다. 연구 결과는 6월 10일에 줌에 비공개로 보고되었습니다.

영향을 받은 플랫폼과 버전

이 취약점은 모든 주요 플랫폼의 네이티브 줌 클라이언트에 영향을 미쳤습니다.

줌 룸(Zoom Rooms) for Windows도 특정 버전 업데이트 전까지 영향을 받았습니다. 줌은 포춘 100대 기업의 약 70%가 사용하는 만큼, 이 결함의 잠재적 영향 범위는 매우 넓었습니다.

패치는 언제 이루어졌나?

줌은 2026년 8월 11일, 보안 게시판(ZSB-26015)을 발행하고 패치를 배포했습니다. 클라이언트 수정 사항은 이미 6월과 7월에 출시되어, 취약점이 공개되기 약 두 달 전에 패치가 제공되었습니다. 현재까지 알려진 익스플로잇 사례는 보고되지 않았습니다.

취약점은 7.0.5를 포함한 모든 이전 버전에 존재했습니다. 모든 플랫폼에 대한 패치 버전은 줌 클라이언트 7.1.5 및 7.0.6입니다. 줌 룸 및 줌 미팅 SDK는 버전 7.1.0 이상이 필요합니다.

더 넓은 시사점: AI 가속화된 발견이 패치 관리를 앞지르다

Zoomsday 공개는 보안 업계 전반에 큰 우려를 불러일으켰습니다. 연구원들은 이를 '경고 신호(warning shot)'라고 표현했습니다. 만약 최첨단 AI 모델이 선의로 치명적인 결함을 찾아내고 무기화할 수 있다면, 위협 행위자들도 같은 속도로 악의적인 공격을 수행할 수 있기 때문입니다.

• 속도 비대칭성(Speed Asymmetry): AI는 20번 미만의 프롬프트로 24시간 안에 치명적인 제로클릭 RCE를 찾고 무기화할 수 있지만, 벤더의 패치 주기는 아무리 빨라도 모든 플랫폼에 걸쳐 개발, 테스트, 배포하는 데 며칠에서 몇 주가 걸립니다.
• 고급 익스플로잇의 대중화(Democratization of Advanced Exploitation): 과거에는 이러한 작업이 국가 차원의 지원을 받는 해커 그룹에게도 몇 달의 시간과 수백만 달러의 비용이 필요했습니다. 이제 AI는 최첨단 모델에 접근할 수 있는 사람이라면 누구나 할 수 있게 만들었습니다.
• 제로클릭 증폭(Zero-Click Amplification): 익스플로잇에 사용자 상호작용이 필요 없기 때문에 대부분의 사용자 수준 방어를 우회하며, 모든 부담은 패치 관리와 네트워크 수준 통제에 전가됩니다.
• 패치 기간 압축(Patch Window Compression): 취약점이 발견되는 시점과 수정 사항이 제공되는 시점 사이의 간격이 점점 더 줄어들고 있습니다. 몇 시간 내에 줌을 업데이트할 수 없는 조직(예: 에어갭(Air-gapped) 환경, 규제 산업, 변경 관리 위원회가 있는 대기업)은 점점 더 큰 위험에 노출되고 있습니다.
• 공급망 우려(Supply Chain Concern): 취약점은 모든 클라이언트에 존재하는 줌의 독점 주석 프로토콜에 있었습니다. AI의 도움을 받은 공격자는 단 한 번의 회의에서 모든 참가자를 조용히 감염시킬 수 있었으며, 이는 협업 도구를 대규모 악성코드 배포 경로로 전환시킬 수 있음을 의미합니다.

Zoomsday는 AI가 취약점 발견의 속도를 근본적으로 변화시켰음을 극명하게 보여주는 사례입니다. 보안 업계는 이제 새로운 현실과 직면해야 합니다. 공격자는 이미 AI를 채택했지만, 패치 주기는 그 속도를 따라가지 못하고 있습니다.