EN View in English

2026년 11월 갤럭시 보안 업데이트: 픽셀에서 악용 정황이 나온 모뎀 취약점, 내 갤럭시도 해당될까요?

수정 9분 분량

핵심 요약

  • 구글은 모뎀 취약점 CVE-2026-58704를 9월 15일(UTC) 픽셀에서 고쳤고, 삼성은 49일 뒤인 11월 3일 갤럭시 보안 게시판에 같은 수정을 올렸어요.
  • 이 취약점은 삼성 엑시노스 칩에 있어요. 11월 4일 기준 safeuntil이 추적하는 갤럭시 중 업데이트를 받는 70종 가운데 25종은 일부 판매 지역판이 해당 칩을 써요.
  • 11월 4일 기준으로 safeuntil이 추적하는 업데이트 목록의 갤럭시 70종은 삼성 릴리스 노트에 11월 보안 패치가 아직 없어요. 올해 한국판 월간 목록 폰의 업데이트는 절반이 게시판 날짜부터 16일 안에 나왔어요.

구글은 픽셀에서 악용 정황이 나온 모뎀 취약점 CVE-2026-58704를 9월 15일(UTC)에 고쳤어요. 삼성은 49일 뒤인 11월 3일 갤럭시 보안 게시판(SMR1 Nov-2026)에 같은 수정을 올렸어요. 이 취약점은 삼성 엑시노스 칩에 있어서, 같은 갤럭시 모델이라도 판매 지역에 따라 해당 여부가 달라요. 게시판이 나왔다고 폰에 업데이트가 온 것은 아니에요. 11월 4일 기준으로 safeuntil이 추적하는 업데이트 목록의 갤럭시 70종은 삼성 릴리스 노트에 11월 보안 패치가 아직 없어요.

모뎀 취약점은 언제 알려지고 언제 고쳐졌나요

미국 취약점 데이터베이스 NVD는 CVE-2026-58704를 휴대전화 모뎀 코드의 논리 오류로 권한 확인을 건너뛸 수 있는 문제라고 설명해요. 근처에 있는 공격자가 사용자 조작 없이 권한을 높일 수 있어요.

  • 9월 15일(UTC): 구글이 픽셀 게시판에 수정을 올리면서, 이 취약점이 제한적이고 표적화된 공격에 쓰였을 수 있다는 징후가 있다고 적었어요.
  • 9월 16일(미국 시간): 미국 CISA2가 실제 악용된 취약점 목록에 넣었어요. 이 목록에는 제품이 구글 픽셀로만 적혀 있어요.
  • 9월 23일: 삼성 반도체의 취약점 페이지에 이 취약점을 제보받은 날로 적혀 있어요.
  • 11월 3일: 삼성 갤럭시 보안 게시판의 칩 수정 항목에 처음 올라왔어요. 2026년 1월부터 11월까지의 게시판 가운데 11월 항목에만 있어요.

삼성 반도체는 이 취약점이 삼성 칩인 엑시노스 850, 1280, 1330, 1380, 1480, 1580, 1680, 2200, 2400, 2500, 9110, W920, W930, W1000과, 통신을 맡는 모뎀 칩 5123, 5300, 5400, 5410에 있다고 밝혔어요. 퀄컴 스냅드래곤 칩을 쓰는 갤럭시는 해당하지 않아요.

삼성은 어느 갤럭시 모델이 이 칩을 쓰는지는 밝히지 않았어요. 그래서 삼성이 나라별로 낸 사양 페이지와 보도자료에서 기종마다 칩 이름을 찾았어요.

내 갤럭시는 이 모뎀 취약점에 해당하나요

11월 4일 기준 safeuntil이 추적하는 갤럭시 폰 83종 가운데 해당 칩을 쓰는 모델이 있는 폰: 월간 업데이트 목록 11/35, 분기 업데이트 목록 14/35, 지원 끝남 2/13 (원본 이미지 열기)
출처: Samsung Semiconductor CVE-2026-58704, 삼성전자 각국 사양 페이지와 보도자료, Samsung Mobile Security 보안 업데이트 범위. 칩 정보는 2026년 11월 4일 확인.

삼성은 매달 보안 업데이트를 하는 기종과 석 달마다 하는 기종을 월간 목록과 분기 목록으로 공개해요. 11월 4일 기준 safeuntil이 추적하는 갤럭시 83종 가운데 70종이 이 목록에 있어요. 이 70종 가운데 25종은 일부 판매 지역판이 해당 칩을 써요. 월간 목록 35종 가운데 11종, safeuntil이 추적하는 분기 목록 폰 35종 가운데 14종이에요. 분기 목록에는 safeuntil이 추적하지 않는 갤럭시 M·F 시리즈 등도 있는데, 이 글에서는 다루지 않아요. 아래 표에는 삼성이 밝힌 칩 이름이나 삼성 한국 지원 페이지의 CPU 사양으로 칩을 확인한 판매 지역만 적었어요.

기종칩확인한 판매 지역업데이트 목록
갤럭시 S23 FE엑시노스 2200한국, 유럽월간
갤럭시 S24, S24+엑시노스 2400한국, 유럽월간
갤럭시 S25 FE엑시노스 2400한국, 미국, 유럽월간
갤럭시 S26 FE엑시노스 2500한국, 미국, 유럽월간
갤럭시 Z 플립7엑시노스 2500한국, 미국, 유럽월간
갤럭시 Z 플립7 FE엑시노스 2400한국, 미국, 유럽월간
갤럭시 A54 5G엑시노스 1380미국, 유럽월간
갤럭시 A55 5G엑시노스 1480유럽월간
갤럭시 A56 5G엑시노스 1580미국, 유럽월간
갤럭시 A57 5G엑시노스 1680미국, 유럽월간
갤럭시 S22, S22+, S22 울트라엑시노스 2200유럽분기
갤럭시 A14엑시노스 850인도분기
갤럭시 A14 5G엑시노스 1330인도분기
갤럭시 A16 5G엑시노스 1330미국, 유럽분기
갤럭시 A17 5G엑시노스 1330미국, 유럽분기
갤럭시 A25 5G엑시노스 1280유럽분기
갤럭시 A26 5G엑시노스 1380유럽분기
갤럭시 A33 5G엑시노스 1280유럽분기
갤럭시 A35 5G엑시노스 1380한국, 유럽분기
갤럭시 A37 5G엑시노스 1480미국, 유럽분기
갤럭시 A53 5G엑시노스 1280한국, 미국, 유럽분기
갤럭시 XCover5엑시노스 850유럽분기
갤럭시 A13엑시노스 850한국, 미국, 인도지원 끝남
갤럭시 노트20 울트라 5G엑시노스 990과 모뎀 5123방글라데시지원 끝남

표의 마지막 두 줄은 지원이 끝나 70종에 들지 않는 폰이에요. A14와 A14 5G는 인도판에서만 해당 칩을 확인했어요. 유럽판 A14 5G는 미디어텍 칩이에요. 노트20 울트라 5G의 엑시노스 990은 목록에 없지만, 삼성 반도체는 이 칩을 목록에 있는 모뎀 5123과 함께 쓴다고 밝혔어요.

판매 지역은 설정 > 휴대전화 정보의 모델 번호로 알 수 있어요. 예를 들어 한국판 갤럭시 S24는 SM-S921N, 유럽판은 SM-S921B예요. 같은 S24라도 미국판은 스냅드래곤 칩이라 해당하지 않아요. 표에 없는 나라에서는 같은 기종도 칩이 다를 수 있어요. 이를테면 S22는 유럽판이 엑시노스 2200이지만 인도판은 스냅드래곤이에요.

S23·S23+·S23 울트라, S24 울트라, S25·S25+·S25 울트라·S25 엣지, S26 울트라, Z 플립4·5·6, Z 폴드4·5·6·7·8, Z 폴드8 울트라는 한국·미국·유럽판 모두 스냅드래곤 칩이라 해당하지 않아요. 한국에서 파는 Z 폴드 스페셜 에디션과 Z 트라이폴드도 스냅드래곤이에요. A05s, A27 5G, A36 5G, A73 5G, XCover6 Pro, XCover7 Pro는 스냅드래곤, A04·A04e·A05·A06·A06 5G·A07·A07 5G·A15·A15 5G·A16·A17·A24·A34 5G와 XCover7은 미디어텍 칩이라 해당하지 않아요. S21 FE는 스냅드래곤 888이나 엑시노스 2100을 쓰는데, 둘 다 목록에 없어요. S24 FE의 엑시노스 2400e와 한국·유럽판 S26·S26+·Z 플립8의 엑시노스 2600은 삼성 반도체 목록에 이름이 없어서 해당하는지 판단하기 어려워요.

지원이 끝난 A13과 노트20 울트라 5G도 표에 적은 판매 지역판은 해당 칩을 쓰지만, 11월 업데이트를 받지 못해요. 이 폰들에서는 이 모뎀 취약점이 고쳐지지 않아요. 업데이트를 계속 받는 폰으로 옮길 계획을 세워 두세요.

11월 업데이트는 언제 내 폰에 오나요

삼성 게시판은 그달 업데이트에 들어갈 수정을 알리는 문서예요. 폰에 설치되는 업데이트는 기종과 판매 지역마다 따로 나와요. 11월 4일에 업데이트 목록 70종의 삼성 릴리스 노트를 확인했는데, 11월 보안 패치는 아직 어디에도 없었어요. 한국판·유럽판·미국판 노트를 봤고, A04 등 10종은 인도판 노트를 봤어요.

올해 1월부터 10월까지 월간 목록 폰의 한국판 업데이트는 절반이 삼성 게시판 날짜부터 16일 안에 나왔어요. 유럽판은 20일, 미국 자급제판은 23일이에요. 기종마다 그달 보안 패치가 처음 들어간 업데이트의 날짜를 그달 게시판 날짜와 비교했어요. 달마다 차이가 커요. 한국판은 4월에는 절반이 게시판 날까지 나왔고, 8월에는 22일이 걸렸어요. 11월 게시판은 11월 3일에 나왔으니, 11월이 보통 달과 같다면 한국판 월간 목록 폰은 11월 19일 무렵까지 절반쯤 받아요.

분기 목록 폰은 업데이트 간격이 기종마다 달라요. 한국판 S22의 최근 세 업데이트는 2월, 5월, 8월 보안 패치였고, 3월 5일, 5월 21일, 8월 31일에 나왔어요. 석 달 간격대로라면 S22는 다음 업데이트에서 11월 패치를 받아요. 지난 8월 패치는 게시판이 나온 8월 4일부터 27일 뒤에 왔어요.

11월 업데이트에 들어간 다른 수정

2026년 11월 삼성 보안 업데이트의 구글 수정 178건, 칩 수정 4건, 삼성 자체 수정 24건을 심각도별로 나눈 막대 그림 (원본 이미지 열기)
출처: Samsung Mobile Security, 보안 업데이트 SMR 2026년 11월.

11월 게시판에는 구글 수정 178건, 칩 수정 4건, 삼성 자체 수정 24건이 있어요. 삼성은 자체 수정 24건 가운데 17건만 번호와 내용을 공개했어요.

구글 수정 가운데 20건이 '심각' 등급이에요. Android 보안 게시판에 따르면 이번 달 가장 심각한 취약점은 Android 프레임워크에 있고, 추가 권한이나 사용자 조작 없이 원격으로 코드를 실행할 수 있어요. 11월 게시판의 수정 가운데 2026.10.30판 CISA 목록에 오른 것은 CVE-2026-58704 하나뿐이에요.

내 폰에 빠진 11월 수정 확인하기

safeuntil의 Android 폰 페이지는 설정에서 본 Android 버전과 보안 패치 수준을 받아, 그 뒤에 나온 수정의 수를 세고 최대 100개까지 목록으로 보여 줘요.

11월 3일에 월간 목록의 갤럭시 S25 페이지에 Android 17과 보안 패치 수준 2026-10-05를 넣으니 빠진 보안 수정을 104개로 세고, 그 가운데 100개를 목록으로 보여 줬어요. 모두 11월 수정이에요. 분기 목록인 갤럭시 S22 페이지에 Android 16과 2026-08-05를 넣으니 9월부터 11월까지의 수정 236개가 빠져 있었어요.

칩 수정은 이 확인에 들어가지 않아서 CVE-2026-58704는 목록에 나오지 않아요. 11월 업데이트를 받았는지는 설정 > 휴대전화 정보 > 소프트웨어 정보에서 확인하세요. 삼성 게시판은 CVE-2026-58704 수정이 11월 릴리스에 담겼다고 밝혔고, '보안 소프트웨어 버전'에 SMR Nov-2026 Release 1이 보이면 삼성과 구글의 11월 패치가 모두 들어 있다고 적었어요.

보안 패치 수준을 보는 곳과 업데이트를 받는 방법은 10월 글에 정리했어요. 표에서 내 기종을 찾았고 업데이트 목록에 있는 폰이라면 설정 > 소프트웨어 업데이트를 며칠 간격으로 열어 보고, 11월 업데이트가 뜨면 바로 설치하세요. 그다음 달 업데이트도 미루지 마세요.

날짜는 각 출처가 밝힌 그대로예요. 구글 게시판은 UTC, CISA 목록은 미국 시간 기준이에요.

출처

각주

  1. SMR(Security Maintenance Release)은 삼성이 매달 내는 갤럭시 보안 업데이트 묶음이에요. 구글 수정과 삼성 자체 수정이 함께 들어가요.

  2. CISA는 미국 사이버보안·인프라보안청이에요. 실제 악용된 것으로 확인한 취약점을 목록으로 공개해요.

공유하기

블로그로 돌아가기