크롬 V8 엔진 제로데이 CVE-2026-85046 악용 확인 — 메커니즘·패치 타임라인·탐지 관점 정리
| 항목 | 값 |
|---|---|
| CVE | |
| CVSS | 8.8 (High) |
| 영향받는 버전 | Chrome 152.0.7977.82 미만 (Windows·macOS·Linux) |
| 패치 버전 | Windows·macOS 152.0.7977.82/.83, Linux 152.0.7977.82 이상 |
| 취약점 유형 | CWE-843 (Type Confusion, V8 엔진) |
| 악용 상태 | 실제 공격 악용 확인 (Google 공식 발표) |
크롬이 자바스크립트와 웹어셈블리를 처리하는 엔진 V8은 브라우저에서 사용자 입력(웹페이지 코드)을 가장 먼저, 가장 많이 만지는 부품이다. 여기서 메모리 처리 결함이 나오면 공격자는 별도의 파일 다운로드나 클릭 유도 없이, 악성 스크립트가 삽입된 페이지를 열람시키는 것만으로 코드를 실행시킬 수 있다. 은 바로 이 지점을 찌른다. Google은 2026-09-03 안정 채널 업데이트를 배포하면서 "에 대한 익스플로잇이 실제로 존재한다"고 공식 확인했다.
Type Confusion은 V8이 메모리에 할당된 객체를 실제와 다른 데이터 유형으로 잘못 해석하는 결함이다(CWE-843). 연구자 분석에 따르면 V8 컴파일러가 배열 등에 잘못된 메모리 맵을 할당하면서 힙 영역에 대한 읽기·쓰기가 원래 허용 범위를 벗어나게 되고, 이 틈을 이용해 공격자가 렌더러 프로세스 안에서 임의 코드를 실행할 수 있게 된다.
중요한 건 여기까지만 공식 확인됐다는 점이다. 크롬은 렌더러 프로세스를 격리된 샌드박스 안에서 돌리는데, 이 샌드박스를 추가로 뚫고 나가는 별도의 탈출 체인이 존재하는지는 Google이 공개하지 않았다. 즉 이번 결함은 "브라우저 탭 안에서의 임의 코드실행"까지는 확정이고, "그 너머 시스템 전체 장악"으로 이어지는지는 알려진 바 없다 — 패치 전파 시간을 벌기 위한 Google의 통상적인 정보 비공개 방침 때문이다.
취약점은 외부 연구자 Salvatore Gulizia(핸들 Serotav)가 2026-08-04 Google에 제보했다.
Chromium 엔진을 공유하는 Microsoft Edge는 Chrome의 공식 발표보다 하루 앞서 9월 2일 패치를 반영했고, 9월 4일 추가 업데이트를 배포했다. 같은 날 미국 CISA는 이 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재하고 연방기관에 9월 18일까지 패치를 의무화했다 — 이 조치 자체가 실제 악용이 국가 차원에서 심각하게 받아들여지고 있다는 신호다.
이번 결함은 웹페이지 열람만으로 촉발되는 메모리 손상형 공격이라 파일 기반 시그니처나 네트워크 IOC로 잡기 어렵다. 공식 IOC는 공개되지 않았다. 다만 공격 경로를 ATT&CK 프레임으로 일반화하면(공식 매핑 아님, 유사 브라우저 익스플로잇 사고에서 흔히 관찰되는 패턴으로서의 추정) T1189(Drive-by Compromise) 로 초기 접근이 이뤄지고, V8 메모리 손상은 T1203(Exploitation for Client Execution) 의 하위 유형으로 분류된다. 실무적으로는 브라우저 자체 크래시 리포트의 이상 급증, EDR의 브라우저 익스플로잇 가드(렌더러 프로세스에서 비정상 자식 프로세스 생성 시도 탐지), 그리고 사실상 유일하게 확실한 대응인 즉시 업데이트가 현재 권고되는 전부다.
이 CVE는 2026년 들어 여섯 번째로 실제 악용이 확인된 크롬 제로데이다(·3909·3910, WebGPU 계열의 , V8 OOB 결함이었던 에 이은 사례). 같은 엔진이 반복적으로 표적이 되는 이유는 V8이 매 릴리스마다 성능 최적화를 위해 복잡한 JIT 컴파일 경로를 계속 손보는데, 이 최적화 코드가 타입 안전성 가정을 미묘하게 깨뜨리는 지점을 매번 새로 만들어내기 때문이다.
국내에서는 공공기관을 중심으로 네이버 웨일 브라우저를 표준으로 쓰는 환경이 있다. 웨일도 크로미움 엔진을 기반으로 하지만, 이번 에 대한 웨일 측의 개별 패치 공지는 이 글 작성 시점(2026-09-08) 기준으로 확인되지 않는다. 크로미움 기반 브라우저를 표준 지정한 조직이라면 "크롬이 패치했으니 안전하다"고 넘기지 말고, 실제 사용 중인 브라우저의 버전과 패치 반영 여부를 직접 확인할 필요가 있다. KISA(한국인터넷진흥원)의 개별 권고문도 아직 공개되지 않았다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.