Chrome V8 제로데이, 실제 공격에 악용 — 샌드박스 내 코드 실행 가능

한 줄 요약

구글이 Chrome 브라우저에서 실제로 악용되고 있는 제로데이 취약점(CVE-2026-87491)을 포함해 총 230개의 보안 결함을 수정한 업데이트를 배포했습니다. 이 취약점은 Chrome의 JavaScript 엔진인 V8에서 발생하는 '범위 초과 쓰기(Out-of-bounds write)' 버그로, 공격자가 특수하게 제작된 웹 페이지를 통해 샌드박스(격리된 보안 영역) 안에서 임의 코드를 실행할 수 있습니다. 구글은 이미 실제 공격에 활용되는 익스플로잇이 존재한다고 공식 확인했습니다. 이번 업데이트로 구글은 올해만 총 7건의 Chrome 제로데이를 패치하게 됐으며, WebGL과 Cast 컴포넌트의 심각도 높은 취약점 5개도 함께 수정됐습니다. Chrome 사용자와 Edge, Brave 등 Chromium 기반 브라우저 사용자는 즉시 최신 버전으로 업데이트해야 합니다.

사건

구글 Chrome의 V8 엔진에서 범위 초과 쓰기 제로데이 취약점(CVE-2026-87491)이 발견되었으며, 실제 공격에 이미 악용되고 있다. 이번 업데이트에서는 해당 취약점을 포함해 총 230개의 보안 결함이 수정됐다.

영향

공격자가 특수 제작된 HTML 페이지를 통해 피해자 시스템의 샌드박스 내에서 임의 코드를 실행할 수 있다. WebGL·Cast 컴포넌트의 심각한 Use-after-free, 버퍼 오버플로우 취약점 5개도 함께 존재해 추가 피해 가능성이 있다.

원인

Chrome V8 엔진의 메모리 처리 로직에서 범위 초과 쓰기 버그가 발생했으며, 이를 통해 샌드박스 내 코드 실행이 가능해졌다.

대응

구글은 Windows·macOS용 Chrome 153.0.8010.36/.37 및 Linux용 153.0.8010.36을 배포했다. 사용자는 Chrome 메뉴(More > Help > About Google Chrome)에서 즉시 업데이트 후 재시작해야 한다.

실무 포인트

Chrome뿐 아니라 Microsoft Edge, Brave, Opera, Vivaldi 등 Chromium 기반 브라우저도 동일한 엔진을 사용하므로 각 브라우저 제공사의 패치를 주시하고 배포해야 한다. 기업 환경에서는 엔드포인트 전체에 대한 브라우저 업데이트 현황을 신속히 점검할 것을 권고한다.

본문

Ravie Lakshmanan 2026년 9월 9일 | 취약점 / 브라우저 보안

구글은 목요일, 실제 공격에서 이미 악용되고 있는 1건을 포함한 230개의 보안 취약점을 수정하는 업데이트를 배포했다.

중간 심각도로 분류된 이 취약점은 CVE 식별자 CVE-2026-87491(CVSS 점수: N/A)이 부여됐으며, Chrome의 JavaScript 및 WebAssembly 엔진인 V8에서 발생하는 범위 초과(Out-of-bounds) 버그로 설명된다.

NIST 국가 취약점 데이터베이스(NVD)의 결함 설명에 따르면, "Google Chrome 153.0.8010.36 이전 버전의 V8에서 발생하는 범위 초과 쓰기(Out-of-bounds write) 취약점으로 인해, 원격 공격자가 특수 제작된 HTML 페이지를 통해 샌드박스 내에서 임의 코드를 실행할 수 있다"고 명시돼 있다.

서울대학교 Compsec Lab 소속 보안 연구자 정지현이 2026년 8월 6일 해당 취약점을 발견해 신고한 것으로 알려졌다. 이 연구자는 책임 있는 공개(responsible disclosure)에 대한 대가로 2,500달러의 버그 바운티 보상을 받았다.

구글은 "CVE-2026-87491에 대한 익스플로잇이 실제 공격에서 사용되고 있음을 인지하고 있다"고 밝혔으나, 실제 공격에서의 구체적인 악용 방식이나 배후에 대해서는 추가적인 정보를 공개하지 않았다.

구글은 "다수의 사용자가 수정 버전으로 업데이트될 때까지 버그 세부 정보 및 관련 링크 접근을 제한할 수 있다"며, "버그가 아직 수정되지 않은 채 다른 프로젝트에서도 동일하게 의존하고 있는 서드파티 라이브러리에 존재하는 경우에도 제한을 유지할 것"이라고 덧붙였다.

이번 조치로 구글은 연초부터 현재까지 총 7건의 실제 악용된 Chrome 제로데이를 수정했다. 여기에는 CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046이 포함된다.

CVE-2026-87491 외에도 이번 업데이트는 WebGL 및 Cast 컴포넌트의 심각한 보안 결함 5건을 함께 수정한다.

CVE-2026-87464 - WebGL의 Use-after-free
CVE-2026-87488 - WebGL의 Use-after-free
CVE-2026-87438 - WebGL의 Out-of-bounds write
CVE-2026-87527 - WebGL의 Buffer overflow
CVE-2026-87628 - Cast의 Use-after-free

구글에 따르면 이번 업데이트에서 수정된 230개 결함 중 195개는 구글 자체적으로 발견했다. WebPackaging의 고위험 Use-after-free 결함 1건(CVE-2026-87639)은 OpenAI Codex Security 팀이 발견한 것으로 크레딧을 받았다.

구글은 "당사의 많은 보안 버그는 AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer, AFL 등을 통해 탐지된다"고 밝혔다.

최적의 보호를 위해 사용자는 Windows 및 Apple macOS의 경우 Chrome 153.0.8010.36/.37 버전으로, Linux의 경우 153.0.8010.36 버전으로 업데이트할 것을 권고한다. 최신 업데이트 설치 여부를 확인하려면 More > Help > About Google Chrome으로 이동해 재시작(Relaunch)을 선택하면 된다.

Microsoft Edge, Brave, Opera, Vivaldi 등 다른 Chromium 기반 브라우저 사용자도 각 브라우저 제공사의 수정 패치가 제공되는 즉시 적용할 것을 권고한다.