메타 당국자가 결함 공식 인정하고 핫픽스 배포

메타 관계자 David Singleton이 결함 사실을 공개적으로 인정하고 핫픽스 배포를 완료했다고 밝혔다. 메타 측 해명에 따르면 해당 결함은 원격 익스플로잇이 아니며 실질적인 위험은 낮다고 전했다. 메타는 결함 발견 직후 안전 경고 문구도 강화한 것으로 확인됐다.

연구자는 원격 유발 가능성으로 반박

보안 연구자 Patrick Wardle은 Ars Technica 보도에서 ClickFix형 소셜엔지니어링 한 번만 성공하면 사실상 원격으로 공격을 유발할 수 있다고 반론했다. Wardle은 메타가 온디바이스 받아쓰기를 적용했더라면 애초에 결함 자체가 성립하지 않았을 것이라고 지적했다. 다만 양측 모두 취약점의 존재 자체는 부정하지 않았다.

출처: 조사 출처

다운로드 수와 심각도 등급은 산정 기준이 엇갈려

뮤즈의 인기 수치는 출처에 따라 차이를 보였다. The Information이 확보한 내부 자료에는 첫 주 50만 건으로 기록된 반면, 센서타워 추산으로는 2주간 280만 건이었다. 산정 기준이 달라 어느 쪽이 정확한지는 단정할 수 없다. 메타 내부 심각도 등급 표기도 언론 간 SEV-2와 SEV-3로 서로 달랐다.

CVE 부여와 기술적 세부는 아직 미확인

공개 자료에서 이 결함에 대한 CVE ID 부여 흔적은 아직 확인되지 않았다. The Information이 확보했다는 메타 내부 사고 보고서 원문은 비공개 상태로 유료매체 단일 출처에 의존한다. 로이터 원문 보도는 본문 직접 확인이 막혀 뉴스핌·YTN 경유의 간접 확인으로 대체됐고, Singleton의 원문 게시물도 언론 인용본으로만 확인됐다.

기술 세부 확인은 내부 보고서 공개에 달렸다

취약점의 패치는 이미 완료됐지만, 공격이 원격에서 성립할 수 있는지는 메타와 Wardle의 해석 대립이 이어지고 있다. CVE 부여 여부와 내부 사고 보고서의 기술적 세부는 이후 공개 여부에 따라 확인할 지점으로 남는다. 이런 단서를 감안할 때 뮤즈에 취약점이 있었다는 주장 자체는 사실로 판단된다.