구글 크롬 제로데이 CVE-2026-85046, 패치 전부터 실제 공격에 악용돼 긴급 패치

구글이 크롬 브라우저에서 실제로 악용되고 있던 제로데이(공개 패치 전 이미 공격에 쓰인 취약점) 결함을 긴급 패치했다. CVE-2026-85046으로 추적되는 이 결함은 크롬의 자바스크립트·웹어셈블리 엔진인 V8에서 발견된 타입 컨퓨전(type confusion, 데이터 유형을 잘못 인식하는 오류) 취약점이다. 올해 크롬에서 패치된 제로데이로는 여섯 번째다. 구글은 패치가 배포되기 전부터 공격자들이 이 결함을 악용한 사실을 확인했다고 밝혔다. 윈도우, 맥, 리눅스, 안드로이드 등 모든 플랫폼 사용자가 즉시 업데이트해야 한다.

V8 엔진 결함, 패치 전부터 실제 공격에 악용

타입 컨퓨전은 소프트웨어가 특정 데이터를 실제와 다른 유형으로 처리할 때 발생하는 오류다. V8처럼 성능에 민감한 엔진 내부에서 이런 오류가 생기면 브라우저가 객체의 구조·크기·메모리 위치를 잘못 판단해 메모리 손상으로 이어질 수 있다. 공격자가 이를 안정적으로 조작하면 허용된 범위 밖의 메모리를 읽거나 쓸 수 있고, 결과적으로 브라우저 충돌이나 정보 노출, 임의 코드 실행으로까지 번질 수 있다.

포브스(Forbes)에 따르면 원격 공격자는 사용자를 악성 웹페이지로 유도하는 것만으로 브라우저의 보안 샌드박스(sandbox, 격리된 실행 공간) 내부에서 임의 코드를 실행할 수 있다. 블리핑컴퓨터(BleepingComputer)는 악성 자바스크립트가 포함된 특수 제작 HTML 페이지 하나로도 공격이 성립한다고 전했다. 나쁜 링크 하나면 충분하다는 얘기다.

다만 렌더러 프로세스 내부에서 임의 코드가 실행된다는 사실만으로 컴퓨터 전체를 장악할 수 있는 것은 아니다. 크롬은 샌드박스로 렌더러 프로세스를 제한해 손상된 웹 콘텐츠가 운영체제의 민감한 자원에 직접 접근하지 못하도록 막고 있다. 더 넓은 접근 권한을 노리는 공격자는 샌드박스를 벗어나거나 권한을 높이는 두 번째 취약점을 함께 사용해야 할 가능성이 있다. 구글은 실제 관측된 공격이 이 결함을 단독으로 사용했는지, 다단계 공격 체인의 일부로 사용했는지는 밝히지 않았다.

신고자는 “세로타브”…포상금은 1000달러

CVE-2026-85046은 “세로타브(Serotav)”라는 이름으로 활동하는 보안 연구자 살바토레 굴리지아(Salvatore Gulizia)가 8월 4일 구글에 신고했다. 구글은 이 결함을 고위험(high severity)으로 분류하고 1000달러(약 135만 원, 1달러 1350원 기준) 포상금을 지급했다. 구글은 크롬 보안 권고에서 “CVE-2026-85046에 대한 익스플로잇이 실제 환경에 존재한다는 사실을 인지하고 있다”고 밝혔다. 다만 누가 공격을 수행했는지, 어떤 사용자가 표적이 됐는지, 어떤 방식으로 공격이 전달됐는지는 공개하지 않았다.

구글은 통상적인 절차에 따라 패치가 충분히 배포되기 전까지 상세한 기술 정보를 공개하지 않는다. 익스플로잇 코드나 상세 분석이 너무 일찍 공개되면 아직 업데이트를 받지 못한 다수의 사용자가 노출된 상태에서 추가 공격자들이 같은 방법을 재현할 위험이 있기 때문이다. 서드파티 라이브러리에 영향을 주는 취약점의 경우 구글은 충분한 비율의 사용자가 안전한 버전을 설치한 뒤에야 버그 트래커 접근 권한을 넓히는 경우가 많다.

12건 동시 수정…9건이 고위험 등급

구글은 이번 크롬 152 보안 업데이트로 제로데이를 포함해 총 12건의 취약점을 수정했다. 패치된 버전은 윈도우와 맥OS용 크롬 152.0.7977.82/83, 리눅스용 152.0.7977.82이며 안드로이드에도 같은 버전 번호의 업데이트가 구글 플레이를 통해 배포되고 있다. 구글의 스리니바스 시스타(Srinivas Sista)는 9월 3일(현지시각) 발표한 권고에서 다른 플랫폼 사용자에게도 앞으로 며칠에서 몇 주에 걸쳐 자동 업데이트가 도달할 것이라고 밝혔다.

나머지 11건 중 9건이 고위험 등급으로 분류됐다. 크래시 리포팅 기능의 아웃오브바운드 읽기(허용 범위 밖 메모리 읽기) 오류, 네트워크 구성요소의 불완전한 정리 문제, 엑스보우(XBOW)의 브렌던 돌란개빗(Brendan Dolan-Gavitt)이 신고한 V8의 별도 경쟁 조건 결함이 포함됐다. WebGL의 아웃오브바운드 쓰기, 캐시스토리지(CacheStorage)의 부적절한 리소스 노출, 개발자도구(DevTools)와 스키아(Skia) 그래픽 라이브러리의 유즈애프터프리(해제된 메모리를 다시 사용하는 오류) 결함, 컴포지팅 기능의 또 다른 타입 컨퓨전 결함도 함께 수정됐다. 부적절한 입력값 검증과 관련된 중간 위험 등급 결함 2건도 패치됐다.

일부 사용자에게는 구글이 얼리 스테이블(Early Stable) 채널을 통해 별도로 배포 중인 크롬 153이 이미 노출되고 있다. 안드로이드용 크롬 152.0.7977.82도 별도 공지가 없는 한 해당 데스크톱 버전과 동일한 보안 수정을 포함한다.

올해만 여섯 번째…지금 해야 할 일

이번 결함은 구글이 올해 크롬에서 패치한 여섯 번째 제로데이다. 시큐리티위크(SecurityWeek)를 인용한 보도에 따르면 CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645에 이어 이번 CVE-2026-85046이 이름을 올렸다. 올해 3월(현지시각)에는 스키아 그래픽 라이브러리와 V8 엔진에서 각각 발견된 두 건의 제로데이가 함께 패치됐고, 이후 WebGPU 구현부의 치명적인 유즈애프터프리 결함인 CVE-2026-5281도 실제 공격에 악용된 채로 수정됐다.

사용자는 크롬 메뉴의 점 3개 아이콘을 눌러 도움말(Help) > Google Chrome 정보를 선택하면 최신 버전 확인과 다운로드가 자동으로 진행된다. 다운로드가 끝나면 브라우저를 재시작해야 패치가 실제로 적용된다. 블리핑컴퓨터는 브레이브(Brave), 오페라(Opera), 비발디(Vivaldi), 마이크로소프트 엣지(Microsoft Edge) 등 크로미움(Chromium) 기반 브라우저 사용자도 업데이트를 확인해야 한다고 권고했다. 다만 이들 제품의 패치는 며칠 더 늦게 도착할 수 있다고 설명했다.

기업 IT 관리자에게는 자동 업데이트만으로는 충분하지 않을 수 있다. 관리 대상 엔드포인트 전반의 브라우저 버전을 확인해 아직 업데이트를 받지 못한 시스템을 파악해야 한다는 조언이 나온다. 구글이 패치를 단계적으로 배포하고 있는 만큼 일부 기기는 여전히 새 버전을 기다리는 상태일 수 있다. 구체적인 공격 규모나 표적은 공개되지 않았지만, 익스플로잇이 실제로 존재한다는 사실이 확인된 만큼 패치 적용 여부를 확인하는 것이 우선이다.