웹페이지를 열기만 해도 Mac의 화면 조작이 불가능해지는 'The Deathray'를 개발자인 오베론 로페즈 씨가 공개했습니다. 브라우저에서 GPU를 이용하는 기능을 활용한 것으로, 로페즈 씨에 따르면 Chrome, Firefox, Safari에서 재현되었다고 합니다. auberon.xyz/blog/posts/deathray/https://auberon.xyz/blog/posts/deathray/ 로페즈 씨가 이 문제를 발견하게 된 계기는 브라우저에서 GPU에 렌더링이나 연산을 수행하도록 하는 'WebGPU'에서 실수로 끝없는 반복 처리를 작성했다가 Mac을 조작할 수 없게 되었고, 다시 시도해도 같은 현상이 발생한 것이었습니다. The Deathray의 작동 방식은 GPU에 같은 연산을 끝없이 반복하게 만들고, 그 결과를 사용하는 렌더링 처리 역시 계속 대기하게 만드는 것입니다. 영향은 브라우저 내에 그치지 않고 Mac의 화면 표시를 담당하는 'WindowServer'에까지 미쳐 데스크톱 전체가 응답하지 않게 됩니다. 다만 Mac의 내부 처리가 모두 멈추는 것은 아니며, 다른 컴퓨터에서 원격 접속하는 것은 가능하다고 합니다. 그대로 화면 표시 응답이 돌아오지 않으면 이상을 감시하는 시스템이 작동하여 최종적으로 Mac이 재부팅됩니다.
로페즈 씨가 확인한 것은 Apple 실리콘을 탑재하고 macOS 26 Tahoe가 구동되는 MacBook입니다. 그가 시도한 다른 OS에서는 동작이 느려지더라도 탭을 닫으면 회복되었다고 합니다. Apple 기기에서 유사한 문제가 발견된 것은 이번이 처음이 아닙니다. Imperva의 론 마사스 씨는 WebGL에서 엄청난 횟수의 반복 처리를 실행시켜 GPU를 점유하게 만드는 'ShadyShader'를 발견한 바 있으며, Apple은 'CVE-2023-40441'로 2023년에 수정했습니다. 로페즈 씨에 따르면 Apple은 이때 폭주하는 반복 처리를 감지하기 쉽게 개선했으나, WebGPU에서는 해당 대책이 충분히 기능하지 않는 것으로 보인다고 합니다.
로페즈 씨가 2026년 7月 27日에 Apple에 보고하자 Apple은 당초 수정할 의사를 밝혔습니다. 그러나 8월 26일에는 보안상의 영향은 인정되지 않는다고 답변했다고 합니다. 로페즈 씨에 따르면 Apple은 크래시나 프리징, 회복 가능한 데이터 손실을 보안상의 문제로 보지 않으며, 보고는 개선을 검토하는 다른 팀으로 전달되었다고 합니다. 로페즈 씨는 ShadyShader가 CVSS 스코어 6.5(중간 정도)의 문제로 평가되었던 점을 들며 이번 판단에 의문을 표했습니다. 로페즈 씨는 The Deathray가 정보 탈취 등과 같은 심각성을 가진다고 생각하지는 않지만, 그럼에도 링크를 열었을 뿐인데 Mac을 조작할 수 없게 되는 것은 브라우저에 대한 신뢰를 손상시키는 것이라고 지적했습니다. 또한 대책으로 GPU 상에서 끝나지 않게 된 처리를 도중에 중단시키는 메커니즘의 강화를 요구하고 있습니다.
원문 보기 | 출처: Gigazine