Mozilla Firefox·Thunderbird WebAssembly UAF 취약점(CVE-2026-74936) 긴급 패치 권고

핵심 요약

- Mozilla가 Firefox 및 Thunderbird의 WebAssembly 컴포넌트에서 발견된 Use-after-free 취약점(CVE-2026-74936)에 대해 긴급 보안 패치 발표 - CVSS 3.x 기준 9.8점(Critical)으로 평가되며, 인증 없이 원격에서 임의 코드 실행이 가능한 고위험 취약점 - Firefox 154, Firefox ESR 140.14/153.1, Thunderbird 154, Thunderbird 140.14/153.1 버전에서 수정 완료

주요 내용

Mozilla Foundation은 2026년 8월, Firefox 웹 브라우저와 Thunderbird 이메일 클라이언트의 JavaScript 엔진 내 WebAssembly 컴포넌트에서 Use-after-free(UAF) 취약점을 식별하고 CVE-2026-74936을 할당했다. 이 취약점은 메모리 해제 후 재참조 오류로, 공격자가 악의적으로 조작된 WebAssembly 코드를 통해 이미 해제된 메모리 영역에 접근할 수 있는 구조적 결함이다.

CVSS 3.x 평가에서 9.8점(Critical)을 받은 본 취약점은 공격 복잡도(AC)가 낮고(Low), 사용자 인터랙션이 불필요(None)하며, 네트워크를 통한 원격 공격(AV:Network)이 가능하다는 점에서 매우 위험하다. 공격 성공 시 기밀성(C), 무결성(I), 가용성(A) 모두에 높은 영향(High)을 미치며, 특히 임의 코드 실행(Arbitrary Code Execution)으로 이어질 수 있어 시스템 완전 장악이 가능하다.

Mozilla는 공식 보안 권고문(MFSA2026-74, MFSA2026-76)을 통해 Firefox 정식 버전 154, 장기 지원 버전(ESR) 140.14 및 153.1로의 업데이트를 권고했다. Thunderbird 역시 동일 버전 체계로 패치가 배포되었으며, Bugzilla 추적 번호 2052688을 통해 기술적 세부사항이 공개되었다. WebAssembly는 웹 브라우저에서 네이티브 수준의 성능을 제공하는 바이너리 명령 형식으로, 최근 웹 애플리케이션에서 광범위하게 사용되고 있어 영향 범위가 상당하다.

기업 환경에서는 특히 Thunderbird를 공식 이메일 클라이언트로 사용하는 조직의 경우, 악성 이메일에 포함된 WebAssembly 페이로드를 통한 공격 시나리오에 주의해야 한다. 브라우저 기반 업무 시스템을 운영하는 조직은 사용자가 의도치 않게 악성 웹사이트를 방문할 경우 즉각적인 침해가 발생할 수 있다.

전문가 시각

Use-after-free 취약점은 메모리 안전성(Memory Safety) 관점에서 가장 위험한 유형 중 하나로, 특히 JIT(Just-In-Time) 컴파일러와 복잡한 가비지 컬렉션 메커니즘을 사용하는 JavaScript 엔진에서 빈번하게 발생한다. 본 취약점이 WebAssembly 컴포넌트에서 발견되었다는 점은 주목할 만한데, Wasm의 선형 메모리 모델과 JavaScript 객체 간 상호작용 경계면에서 라이프사이클 관리 오류가 발생했을 가능성이 높다. CVSS 9.8점은 실질적으로 완벽에 가까운 공격 가능성을 의미하며, 실제 exploit 코드 개발 난이도 역시 중간 수준 이하로 추정된다.

기업 보안 담당자는 즉각적인 패치 적용을 최우선으로 해야 하며, 패치 적용이 지연될 경우 임시 완화 조치로 WebAssembly 기능 비활성화(about:config에서 javascript.options.wasm 설정)를 검토할 수 있다. 다만 이는 일부 웹 애플리케이션의 정상 작동을 방해할 수 있으므로 업무 영향도 평가가 선행되어야 한다. 침해사고 대응 관점에서는 Firefox/Thunderbird 프로세스의 비정상적인 메모리 접근 패턴을 EDR(Endpoint Detection and Response) 솔루션을 통해 모니터링하고, 의심스러운 crash dump 발생 시 포렌식 분석을 수행해야 한다.

영향받는 시스템 및 조치사항

영향받는 버전:
- Firefox 154 미만 모든 버전
- Firefox ESR 140.14 미만 140 시리즈
- Firefox ESR 153.1 미만 153 시리즈
- Thunderbird 154 미만 모든 버전
- Thunderbird ESR 140.14 미만 140 시리즈
- Thunderbird ESR 153.1 미만 153 시리즈

CVSS 3.x 상세 벡터: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- 공격 벡터(AV): 네트워크(원격 공격 가능)
- 공격 복잡도(AC): 낮음(특수한 조건 불필요)
- 권한 요구사항(PR): 없음(인증 불필요)
- 사용자 인터랙션(UI): 없음(자동 실행 가능)
- 영향 범위: 기밀성·무결성·가용성 모두 높음

조치사항:
1. 즉시 최신 버전으로 업데이트 (자동 업데이트 확인: 설정 > 일반 > Firefox/Thunderbird 업데이트)
2. 기업 환경: GPO 또는 SCCM을 통한 중앙 집중식 패치 배포
3. 업데이트 불가 시 임시 조치: WebAssembly 비활성화 또는 대체 브라우저 사용
4. 보안 로그 검토: 최근 비정상 종료 이력 및 메모리 손상 관련 이벤트 확인

CPPG·ISMS-P 연계 포인트

1. 소프트웨어 보안약점 관리 (ISMS-P 인증기준 2.8.3)
Use-after-free는 CWE-416(해제된 메모리 사용)에 해당하며, OWASP Top 10의 A06:2021(취약하고 오래된 컴포넌트)와 직접 연관된다. 정보보호 관리체계에서는 사용 중인 소프트웨어의 취약점 모니터링 체계 구축과 30일 이내 긴급 패치 적용 절차를 요구한다. 본 사례는 공개 소프트웨어(OSS) 사용 조직이 CVE 데이터베이스 구독, 자동화된 취약점 스캐닝 도구 운영, 패치 적용 후 회귀 테스트 수행 등의 통제 활동을 문서화해야 함을 보여준다.

2. 침해사고 예방 및 대응 (ISMS-P 인증기준 2.9.2)
CVSS 9.8점 취약점은 정보보호 위험평가에서 '상' 등급에 해당하며, 즉각적인 위기대응팀(CSIRT) 가동 대상이다. 조직은 Critical 등급 취약점 발견 시 24시간 이내 영향도 분석, 48시간 이내 임시 조치, 72시간 이내 패치 적용 완료 등의 단계별 대응 시나리오를 사전 수립해야 한다. 본 취약점처럼 원격 코드 실행이 가능한 경우, 사고 발생 시 초기 대응 골든타임 확보를 위해 네트워크 세그먼트 격리, 의심 프로세스 자동 격리, 메모리 덤프 자동 수집 등의 기술적 통제를 사전 구현하는 것이 모범 사례다.