보안2026. 11. 9. 오전 5:06 UTC·2 분 소요

안드로이드 취약점 GhostMap, 스마트폰 무한 재부팅 유발

Bitdefender가 안드로이드 취약점 GhostMap을 공개했습니다. 조작된 파일이 담긴 앱 하나로 기기가 재부팅을 반복하며, 구글은 아직 수정을 거부했습니다.

A smartphone showing an error screen stuck in a restart loop, representing the GhostMap Android vulnerability. — 이미지: 01net.com

보안업체 Bitdefender 연구진이 안드로이드 취약점 "GhostMap"을 공개했습니다. 조작된 파일이 담긴 앱을 설치하기만 해도 스마트폰이 충돌과 재부팅을 끝없이 반복하는 상태에 빠질 수 있습니다. 구글은 현재 보안 업데이트로 이를 고치지 않겠다는 입장입니다.

권한도 악성 코드도 필요 없다

공격에 쓰이는 앱은 어떤 권한도 요청하지 않으며 실행할 악성 코드도 없습니다. 핵심은 앱 안에 숨겨진 malformed 파일, 즉 안드로이드가 기대하는 형식을 따르지 않는 파일입니다. Bitdefender에 따르면 안드로이드는 이 파일의 압축 방식과 압축 해제 후 크기라는 두 정보를 잘못 해석하고, 파일의 실제 끝을 넘어 읽으려다 충돌합니다.

충돌하는 프로세스는 안드로이드 핵심 서비스인 system_server입니다. 앱을 한 번도 실행하지 않아도 몇 초마다 멈췄다 다시 시작됩니다. 서비스가 안전 모드 적용 전에 파일을 읽기 때문에 안전 모드도 도움이 되지 않습니다.

연구진은 Android 17과 2026년 8월 5일 보안 패치가 적용된 Pixel 10에서 이를 재현했습니다. Bitdefender는 Android 10 이후 모든 버전이 영향을 받는다고 밝혔습니다.

복구하려면 초기화 필요

루프에서 벗어나는 유일한 방법은 공장 초기화이며, 이 경우 저장된 데이터가 모두 삭제됩니다. 개발자 모드와 ADB를 미리 켜 둔 사용자만 컴퓨터를 연결해 충돌 사이에 파일을 지워 데이터를 지킬 가능성이 있습니다.

Bitdefender는 금전을 요구하는 협박에 악용될 수 있다고 경고했습니다. 이미 설치된 앱의 업데이트에 파일을 끼워 넣으면 많은 기기를 동시에 노릴 수도 있습니다. 악성 앱 삭제를 막거나 보안 도구가 검사하는 도중 충돌시키는 데도 쓰일 수 있습니다. 다만 실제 악용 사례는 확인되지 않았습니다.

연구진은 2026년 8월 20일과 25일 두 차례 구글에 신고했습니다. 첫 신고는 "Won’t Fix (Not Reproducible)"로 분류됐고, 두 번째는 보안 패치 범위 밖이라는 답을 받았습니다. 구글은 사안을 다른 팀에 넘겼으며 향후 안드로이드 버전에서 수정될 수 있지만 보장은 없습니다. 당분간 플레이 스토어의 검증된 앱만 사용하고, 외부 APK를 피하며, 데이터를 정기적으로 백업하는 것이 좋습니다.