구글, 실제 공격에 악용 중인 Chrome 신규 제로데이 취약점 경고

한 줄 요약

구글이 Chrome 브라우저에서 실제 공격에 악용되고 있는 제로데이(패치 전에 이미 공격에 쓰이는) 취약점을 포함해 총 12개의 보안 결함을 수정한 업데이트를 배포했습니다. 문제의 취약점(CVE-2026-85046)은 Chrome의 JavaScript 실행 엔진인 V8에서 발생하는 '타입 혼동(type confusion)' 오류로, 공격자가 악성 웹페이지를 통해 피해자 PC에서 원격으로 코드를 실행(RCE, 원격에서 시스템을 마음대로 조작할 수 있는 공격)할 수 있습니다. 이번이 올해만 여섯 번째로 실제 악용이 확인된 Chrome 취약점 수정으로, 위협이 지속적·반복적으로 발생하고 있음을 보여줍니다. Chrome 사용자는 즉시 설정 > Chrome 정보에서 버전을 152.0.7977.82/.83으로 업데이트하고 브라우저를 재시작해야 하며, Microsoft Edge·Brave·Opera·Vivaldi 등 Chrome 기반 브라우저 사용자도 해당 앱의 업데이트를 확인해야 합니다.

사건

Chrome V8 엔진에서 타입 혼동 취약점(CVE-2026-85046)이 발견되어 실제 공격에 악용되고 있으며, 구글이 긴급 패치를 배포했습니다. 올해 들어 Chrome에서 실제 악용이 확인된 여섯 번째 제로데이입니다.

영향

공격자는 악성 JavaScript가 포함된 웹페이지만으로 피해자 브라우저 내에서 원격 코드 실행을 유발할 수 있습니다. Chrome 기반의 모든 브라우저(Edge, Brave, Opera, Vivaldi 등)가 영향을 받습니다.

원인

V8 엔진의 타입 혼동 결함으로 인해 소프트웨어가 객체 유형을 잘못 해석하여 메모리가 손상될 수 있습니다. 이 외에도 use-after-free, 범위 초과 메모리 접근, 경쟁 조건 등 9개의 고심각도 취약점도 함께 수정되었습니다.

대응

구글은 Chrome 152.0.7977.82/.83 버전으로 업데이트를 배포했습니다. 사용자는 설정 > Chrome 정보에서 즉시 업데이트 후 브라우저를 재시작해야 합니다. Chrome 기반 브라우저 사용자도 수일 내 해당 앱의 업데이트를 적용해야 합니다.

실무 포인트

기업 보안 담당자는 사내 Chrome 및 Chrome 기반 브라우저 전체에 대해 업데이트 적용 현황을 점검하고, 자동 업데이트 정책을 확인해야 합니다. 올해 Chrome 제로데이가 반복적으로 발생하고 있으므로 브라우저 패치 주기를 단축하는 것을 권장합니다.

본문

구글이 V8 엔진에서 발견된 고심각도 제로데이 취약점을 포함해 총 12개의 보안 결함을 수정한 Chrome 브라우저 업데이트를 배포했습니다.

악용이 확인된 보안 이슈는 CVE-2026-85046으로 식별되며, 타입 혼동(type confusion) 결함으로 분류됩니다. 이 취약점은 온라인 닉네임 "Serotav"으로 알려진 보안 연구자 Salvatore Gulizia가 구글에 제보했습니다.

이번 업데이트로 Chrome은 Windows 및 macOS에서 버전 152.0.7977.82/.83으로, Linux에서는 152.0.7977.82로 업데이트되며, 단계적으로 배포될 예정입니다.

"구글은 CVE-2026-85046에 대한 익스플로잇이 실제로 존재함을 인지하고 있습니다"라고 공식 권고문은 밝히고 있습니다.

구글은 사용자와 관련 프로젝트가 수정 사항을 적용할 시간을 확보할 수 있도록, 기술적 세부 정보나 구체적인 악용 방법은 공개하지 않았습니다.

타입 혼동 결함은 소프트웨어가 한 유형의 객체를 다른 유형으로 잘못 해석하게 만들어, 공격자가 메모리를 손상시킬 수 있게 합니다.

V8는 Chrome의 오픈소스 JavaScript 및 WebAssembly 엔진으로, 웹사이트에서 사용하는 코드를 컴파일하고 실행합니다.

따라서 CVE-2026-85046은 악성 JavaScript가 포함된 특수하게 조작된 HTML 페이지를 통해 트리거될 수 있으며, Chrome의 샌드박스 렌더러 프로세스 내에서 원격 코드 실행(RCE)이 가능할 수 있습니다.

이번 업데이트는 또한 Crash Reporting, Network, Compositing, WebGL, CacheStorage, DevTools, Skia의 use-after-free 및 범위 초과 메모리 결함, V8의 경쟁 조건(race condition) 등 9개의 고심각도 취약점도 함께 수정합니다.

CVE-2026-85046은 올해 구글이 Chrome에서 수정한 여섯 번째 실제 악용 버그입니다. 이전 수정 사항은 다음과 같습니다:

Chrome V8 JavaScript 엔진의 범위 초과 읽기 및 쓰기 취약점(CVE-2026-11645): 실제 악용이 확인되어 6월에 패치됨.
CSSFontFeatureValuesMap(Chrome의 CSS 폰트 기능 값 구현체)의 이터레이터 무효화 취약점(CVE-2026-2441): 2월 중순에 수정됨.
3월 공격에 악용된 Chrome 제로데이 2건: Skia 2D 그래픽 라이브러리의 범위 초과 쓰기 결함(CVE-2026-3909)과 V8 JavaScript 및 WebAssembly 엔진의 부적절한 구현 이슈(CVE-2026-3910).
Chromium이 사용하는 WebGPU 표준의 크로스플랫폼 구현체인 Dawn의 use-after-free 취약점(CVE-2026-5281): 4월에 패치됨.

Chrome 사용자는 설정 > Chrome 정보로 이동해 업데이트가 다운로드 및 설치될 때까지 기다리는 방식으로, 배포가 도달하는 즉시 업데이트를 적용할 것을 권장합니다.

업데이트 완료 후에는 수정 사항을 적용하기 위해 브라우저 재시작이 필요합니다.

Microsoft Edge, Brave, Opera, Vivaldi 등 Chrome 기반 브라우저 사용자에게도 동일한 조치가 권장되나, 해당 앱에 수정 사항이 제공되기까지 며칠이 더 걸릴 수 있습니다.