크롬 V8 엔진의 실사용 제로데이 CVE-2026-87491을 서울대 연구팀이 한 달 앞서 신고했다. 2026년 일곱 번째 크롬 제로데이의 전개 과정과 탐지 관점.
| 항목 | 값 |
|---|---|
| CVE | |
| 제품 | Google Chrome (V8 자바스크립트·WebAssembly 엔진) |
| 취약점 유형 | Out-of-Bounds Write (CWE-787로 보도됨) |
| 심각도 | Chromium 자체 등급 Medium · 실사용 익스플로잇 확인 |
| 영향 버전 | Chrome 153.0.8010.36 이전 (Linux) / .37 이전 (Windows·macOS) |
| 패치 버전 | Chrome 153.0.8010.36 / .37 (2026-09-09 배포) |
| 악용 상태 | 실사용 확인 · CISA KEV 등재(2026-09-09) |
2026년 9월 9일, 구글이 크롬 브라우저의 V8 엔진에서 실제 공격에 악용되고 있는 제로데이 취약점 을 패치했다. 이 취약점을 한 달 앞서 구글에 신고한 건 서울대학교 보안연구실(Compsec Lab) 소속 연구자였다.
V8은 크롬뿐 아니라 엣지·브레이브 등 크로미움 기반 브라우저 전반이 공유하는 자바스크립트·WebAssembly 실행 엔진이다. 사용자가 특별한 조작 없이 악성 웹페이지에 접속하기만 해도 V8이 그 페이지의 스크립트를 자동으로 실행한다.
이 지점에 메모리 손상 취약점이 있으면, 클릭이나 다운로드 같은 추가 행동 없이 방문 자체가 공격 경로가 된다. 이른바 드라이브바이(drive-by) 공격 모델이다. 그래서 V8 취약점은 발견 즉시 광범위한 공격 표면을 가진다.
은 V8이 메모리 배열의 경계를 벗어난 위치에 데이터를 쓰게 만드는 결함으로, 보안 업계는 이를 CWE-787(범위를 벗어난 쓰기) 계열로 분류하고 있다. 개념적으로는 프로그램이 할당받은 메모리 구획 바깥에 값을 덮어써, 원래 그 자리에 있던 다른 데이터나 실행 흐름 정보를 조작할 여지가 생기는 결함이다.
구글은 이 취약점의 구체적인 익스플로잇 코드나 트리거 조건을 공개하지 않았다. 이용자 다수가 패치를 적용하기 전까지 세부 정보를 의도적으로 제한하는 건 구글의 통상적인 정책이다.
한 가지 확인되지 않은 지점이 있다. V8 자체의 메모리 손상은 보통 렌더러 프로세스 내부에서 끝나고, 이를 시스템 전체로 확장하려면 별도의 샌드박스 탈출 취약점과 결합해야 한다. 이번 건이 그렇게 연쇄 악용됐는지는 구글이 공개하지 않아 확인되지 않는다.
취약점은 2026년 8월 6일 서울대 Compsec Lab 연구자가 구글에 제보했고, 구글은 2,500달러의 포상금을 지급했다. 그리고 한 달여 뒤인 9월 9일 Chrome 153.0.8010.36/.37로 패치를 배포하면서 "을 노리는 익스플로잇이 실제로 존재한다"고 공지했다.
같은 날 CISA는 이 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재했다. 이날 함께 등재된 다른 취약점은 포티넷·시트릭스 넷스케일러·시스코 FMC 제품군으로, 벤더가 서로 다른 4건이 같은 날 등재됐다는 점은 그 주간 여러 업체 제품에서 동시다발적으로 실사용 공격이 확인되고 있었다는 정황을 보여준다.
이번 건은 2026년 들어 일곱 번째로 패치된 실사용 크롬 제로데이다. 특히 불과 6일 전인 9월 3일에는 별도의 V8 타입 컨퓨전 취약점(, High 등급)도 실사용 익스플로잇 상태로 패치된 바 있어, 크롬 V8 엔진을 겨냥한 취약점 발굴과 악용이 최근 단기간에 몰려 있었던 셈이다.
흥미로운 대목은 심각도 표기다. 은 High였지만 이번 은 Chromium 자체 등급으로 Medium이다. 심각도가 상대적으로 낮게 매겨진 취약점도 실사용 악용으로 이어질 수 있다는 뜻이며, 등급만으로 패치 우선순위를 정하는 방식의 한계를 보여준다.
구글이 익스플로잇 코드나 공격 체인을 공개하지 않았기 때문에, 이 취약점을 노린 공격을 페이로드 시그니처로 탐지하기는 현재로선 어렵다. 대신 실무에서는 크롬 버전 원격 측정(EDR·MDM의 브라우저 버전 수집)으로 Chrome 153.0.8010.36/.37 미만 버전이 조직 내에 남아 있는지 확인하는 패치 준수 모니터링이 현실적인 대응이다.
렌더러 프로세스의 비정상 크래시 급증도 참고할 만한 신호다. 공격이 실패로 끝난 시도가 크래시 리포트에 남을 수 있기 때문이다. 연방기관이라면 CISA KEV 등재 취약점에 대한 자체 패치 이행 점검 절차를 이번 건에도 적용해야 한다.
구글이 구체적인 공격 체인을 공개하지 않아 공식 ATT&CK 매핑은 없다. 다만 이런 유형의 브라우저 제로데이가 일반적으로 따르는 패턴을 추정하면 초기 접근은 T1189(Drive-by Compromise), 실행 단계는 T1203(Exploitation for Client Execution)에 해당한다. 어디까지나 유형상 추정이며 이번 건의 확정된 공격 체인은 아니다.
이번 취약점을 처음 발견해 구글에 신고한 곳이 서울대학교 Compsec Lab이라는 점은 국내 보안 연구 역량이 글로벌 브라우저 제로데이 대응의 최전선에 있다는 걸 보여준다. 실사용 악용이 시작되기 전에 국내 연구자의 제보로 패치가 먼저 나온 사례이기도 하다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.