구글이 실제 공격에 악용되고 있는 크롬 브라우저 고위험 제로데이 취약점에 대한 긴급 보안 업데이트를 배포했다. 올해 크롬에서 실제 악용 사례가 발견돼 패치된 6번째 취약점이다. 

정보보호 분야 전문 해외 매체 ‘블리핑컴퓨터’ 보도에 따르면, 구글은 4일(현지시간) 크롬 브라우저의 V8 자바스크립트 엔진에서 발견된

▲크롬과 유튜브 등 앱들이 스마트폰 화면에 표시돼 있다. [출처: 게티이미지뱅크]

제로데이 취약점 ‘CVE-2026-85046’ 등 12건의 보안 취약점을 고친 업데이트를 발표했다. 

문제가 된 취약점 CVE-2026-85046은 구글의 자바스크립트 및 웹어셈블리 엔진 V8에서 발생한 ‘유형 혼란’(Type Confusion) 오류다. 온리인에서 ‘Serotav’라는 이름으로 활동하는 보안 연구원 살바토레 굴리지아(Salvatore Gulizia)가 발견해 지난달 구글에 제보했다.

유형 혼란 취약점은 프로그램이 메모리에 할당된 객체를 원래 데이터 유형과 다른 유형으로 잘못 해석할 때 발생하며, 메모리 오염(Memory Corruption)을 유발할 수 있다. 공격자가 악성 자바스크립트 코드를 삽입한 특수 제작 웹페이지로 사용자의 접속을 유도할 경우, 크롬의 샌드박스 렌더러 프로세스 내부에서 임의의 코드를 실행(RCE)할 위험이 있다.

구글은 공식 보안 공지에서 “CVE-2026-85046에 대한 공격 익스플로잇이 실제 현장에서 악용되고 있음을 인지하고 있다”고 확인했다. 다만 대부분 사용자가 업데이트를 적용할 수 있는 시간을 확보하기 위해 구체적 기술 세부 사항이나 공격 경로는 공개하지 않았다.

구글은 올해 들어 크롬을 겨냥한 제로데이 공격을 연이어 방어하고 있다. 2월 CSS 폰트 기능 맵 취약점(CVE-2026-2441) 패치를 시작으로, 3월 Skia 그래픽 라이브러리(CVE-2026-3909) 및 V8 엔진(CVE-2026-3910) 버그, 4월에는 WebGPU 표준 구현체인 ‘돈’(Dawn)의 Use-After-Free 취약점(CVE-2026-5281), 6월 V8 OOB(Out-of-bounds) 읽기·쓰기 취약점(CVE-2026-11645)을 수정한 바 있다.

이번 보안 패치는 CVE-2026-85046 외에도 충돌 보고서(Crash Reporting)의 OOB 읽기 오류, 네트워크 컴포넌트의 불완전한 정리 문제, DevTools 및 Skia의 Use-After-Free 결함 등 다수의 고위험 취약점을 함께 해결했다.

크롬 사용자는 브라우저 우측 상단 메뉴의 ‘설정 > Chrome 정보’로 이동해 최신 버전으로 즉시 업데이트하고 브라우저를 재시작해야 안전하다. 마이크로소프트 엣지, 브레이브, 오페라, 비발디 등 크롬과 같은 크로미움 기반 엔진을 사용하는 브라우저 사용자 역시 제조사 업데이트 배포 즉시 패치를 적용할 것이 권고된다.

출처 : 보안뉴스(https://www.boannews.com)