Google이 Chrome 브라우저에서 실제 공격에 악용되고 있는 제로데이 취약점(CVE-2026-85046)을 포함해 총 12개의 보안 취약점을 패치했습니다. 이 취약점은 Chrome의 JavaScript 엔진인 V8에서 발생한 '타입 컨퓨전(type confusion, 데이터 형식을 잘못 처리해 발생하는 오류)' 버그로, 공격자가 악성 웹페이지 하나만으로 피해자 컴퓨터에서 원격으로 코드를 실행할 수 있습니다. 위험도 점수(CVSS)는 8.8로 '높음' 수준이며, 2026년 한 해에만 Google이 수정한 6번째 Chrome 제로데이입니다. Chrome 152.0.7977.82/.83 버전에서 수정이 완료됐으므로, 기업 내 모든 Chrome 사용자는 즉시 브라우저를 업데이트해야 합니다.
Google Chrome V8 JavaScript 엔진에서 타입 컨퓨전 취약점(CVE-2026-85046)이 발견됐으며, 실제 공격에 이미 악용되고 있음이 확인됐습니다.
공격자가 특수 제작한 HTML 페이지를 통해 원격으로 Chrome 샌드박스 내에서 임의 코드를 실행할 수 있습니다. CVSS 점수는 8.8(높음)입니다.
V8 컴파일러 버그로 인해 PACKED_ELEMENTS 배열이 PACKED_SMI_ELEMENTS 맵을 잘못 할당받아 JavaScript 힙(메모리 영역)에서 임의 읽기·쓰기가 가능해지는 구조적 결함이 원인입니다.
Google은 Chrome 152.0.7977.82/.83(Windows/macOS) 및 152.0.7977.82(Linux) 버전에 패치를 포함시켰으며 순차 배포 중입니다.
실제 악용이 확인된 제로데이이므로 기업 내 Chrome 사용자 전원에게 즉각적인 업데이트를 안내해야 합니다. 2026년에만 6번째 Chrome 제로데이인 만큼, 브라우저 자동 업데이트 정책과 패치 주기를 재점검하는 것이 권고됩니다.
본문
Google이 인기 브라우저 Chrome에 영향을 미치는 12개의 취약점을 패치했습니다. 그 중 CVE-2026-85046는 실제 공격에 악용된 정황이 확인됐습니다.
Google은 목요일 발표한 보안 공지에서 "CVE-2026-85046에 대한 익스플로잇(exploit, 취약점을 실제로 공격하는 코드)이 실제 환경에서 발견됐다"고 밝혔습니다.
해당 수정 사항은 Windows 및 macOS용 Chrome 152.0.7977.82/.83과 Linux용 Chrome 152.0.7977.82에 포함됐으며, 향후 수일에서 수 주에 걸쳐 사용자들에게 순차 배포될 예정입니다.
CVE-2026-85046 개요
CVE-2026-85046(CVSS 점수: 8.8)은 Chrome의 JavaScript 및 WebAssembly 엔진인 V8에서 발생한 타입 컨퓨전(type confusion) 버그로, 원격 공격자가 "특수 제작된 HTML 페이지를 통해 샌드박스(sandbox, 브라우저가 악성 코드를 격리하는 보호 영역) 내에서 임의 코드를 실행"할 수 있게 합니다.
이 취약점은 연구자 Salvatore Gulizia(일명 Serotav)가 2026년 8월 4일 신고했으며, 해당 공개에 대해 1,000달러의 버그 바운티(bug bounty, 취약점 신고 포상금)를 받았습니다.
Gulizia는 자신의 분석 글에서 근본 원인을 다음과 같이 설명했습니다. "PACKED_ELEMENTS를 포함한 배열이 PACKED_SMI_ELEMENTS 맵을 받도록 유도하는 V8 컴파일러 버그이며, 이를 통해 JavaScript 힙(heap, 메모리 영역)에서 임의 읽기·쓰기가 가능해진다."
Google은 이번에도 수정된 제로데이에 대한 추가 기술 정보나 실제 악용 정황의 세부 내용은 공개하지 않았습니다.
CVE-2026-85046는 Google이 2026년에 수정한 여섯 번째 Chrome 제로데이입니다. 이전에 패치된 취약점으로는 CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645가 있습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
