스팀서 제로클릭 원격 코드 실행 취약점 포함 6건 발견
아트레디스 파트너스가 윈도우용 스팀에서 원격 코드 실행 2건과 로컬 권한 상승 4건을 확인해 공개했다.
보안 연구·컨설팅 기업 아트레디스 파트너스가 2026년 10월 28일 윈도우용 스팀(Steam) 클라이언트에서 발견한 취약점 6건에 대한 연구 결과를 공개했다. 브라이언 알렉산더를 비롯한 연구진이 확인한 항목은 원격 코드 실행 취약점 2건과 로컬 권한 상승 취약점 4건이다.
원격 코드 실행 문제는 같은 계정으로 로그인한 클라이언트 사이의 통신에서 발생했다. 다운로드 일정 변경 메시지와 게임 설치·업데이트 상태 메시지를 처리하는 과정이 문제로 지목됐다. 연구진은 공격자가 대상과 동일한 스팀 계정으로 인증된 클라이언트를 장악하면 클릭 한 번 없이 코드를 실행하는 제로클릭 방식을 실제로 시연했다.
로컬 권한 상승 취약점 가운데 하나는 게임 설치 스크립트 처리 과정을 악용해 SYSTEM 권한으로 프로그램을 실행할 수 있게 했다.
모든 취약점은 밸브(Valve)의 버그 바운티 플랫폼인 해커원(HackerOne) 프로그램을 통해 신고됐다. 아트레디스 파트너스가 공개한 세부 내용은 수정이 완료됐거나 공개 시한이 지난 항목들이다.
한눈에 보기
스팀에서 발견된 취약점은 몇 건인가?
원격 코드 실행 2건과 로컬 권한 상승 4건, 모두 6건이다.
제로클릭 원격 코드 실행은 어떻게 동작하나?
공격자가 대상과 같은 스팀 계정으로 인증된 클라이언트를 장악한 뒤 다운로드 일정 변경이나 게임 설치·업데이트 상태 메시지를 악용해 클릭 없이 코드를 실행하는 방식이다.
취약점은 어디로 신고됐나?
밸브의 버그 바운티 플랫폼인 해커원(HackerOne) 프로그램을 통해 신고됐다.