Chrome 제로데이가 실제 공격에 쓰였다…확인할 버전은 152.0.7977.82

Google은 2026년 9월 3일 데스크톱 Chrome 보안 업데이트를 공개하면서 V8 타입 혼동 취약점 CVE-2026-85046을 겨냥한 익스플로잇이 실제 환경에 존재한다고 확인했다. Google의 Stable 채널 공지 에 명시된 수정 버전은 Windows·macOS용 152.0.7977.82/.83과 Linux용 152.0.7977.82다.

9월 3일 공개된 업데이트를 적용했더라도 Chrome을 다시 시작하지 않았다면 조치가 끝난 것으로 볼 수 없다. Malwarebytes의 9월 4일 업데이트 도 운영체제별 수정 버전을 제시하며 다운로드 후 재시작해야 업데이트가 완료된다고 설명한다. 개인 사용자는 재시작 뒤 버전을 다시 확인하고, 기업 관리자는 설치 상태와 실제 실행 버전을 분리해 점검해야 한다.

실제 악용이 확인된 V8 타입 혼동 취약점

CVE-2026-85046은 Chrome에서 JavaScript와 WebAssembly를 처리하는 V8 엔진의 타입 혼동 결함이다. 객체가 메모리에서 원래와 다른 자료형으로 취급되면 잘못된 메모리 접근으로 이어질 수 있으며, 조작된 HTML 페이지를 이용한 공격에서는 Chrome 샌드박스 안에서 임의 코드를 실행할 가능성이 있다.

Google은 이 취약점의 심각도를 ‘높음’으로 분류했다. 연구자 Salvatore Gulizia가 2026년 8월 4일 보고했으며, 9월 3일 배포된 데스크톱 업데이트에는 이 문제를 포함해 모두 12건의 보안 수정이 들어갔다.

이번 결함이 제로데이로 불리는 핵심 근거는 패치 발표 시점에 익스플로잇이 이미 실제 환경에 존재했다는 Google의 확인이다. 다만 공개 공지는 공격 주체와 표적, 피해 규모, 익스플로잇이 단독으로 사용됐는지 다른 결함과 결합됐는지를 밝히지 않았다. 따라서 실제 악용 사실은 확인됐지만 모든 사용자가 공격받았다고 해석해서는 안 된다.

Windows·macOS·Linux에서 확인할 버전

버전은 Chrome 오른쪽 위 메뉴에서 ‘도움말’, ‘Chrome 정보’를 차례로 열어 확인할 수 있다. 이 화면을 열면 사용 가능한 업데이트를 확인하고 내려받으며, 적용을 위해 ‘다시 시작’ 버튼이 표시될 수 있다.

• Windows: 152.0.7977.82 또는 152.0.7977.83
• macOS: 152.0.7977.82 또는 152.0.7977.83
• Linux: 152.0.7977.82

Windows와 macOS에 표시된 ‘.82/.83’은 두 운영체제의 모든 사용자가 반드시 .83을 받아야 한다는 뜻이 아니다. Google이 두 빌드를 Stable 채널 수정판으로 함께 발표했으므로 해당 운영체제에서 .82가 보인다는 이유만으로 미패치 상태라고 단정할 수 없다. 이후 공개된 더 높은 Stable 빌드도 이번 수정 사항을 이어받지만, 151 계열이나 152.0.7977.81 이하라면 이 공지의 수정 기준에는 도달하지 못했다.

업데이트 다운로드와 수정 코드의 실행은 같은 단계가 아니다. 기존 Chrome 프로세스가 계속 살아 있으면 디스크에 새 버전이 설치돼도 세션은 이전 코드로 동작할 수 있다. 열어 둔 작업을 저장한 뒤 Chrome을 다시 시작하고 ‘Chrome 정보’에서 표시되는 버전을 재확인해야 하는 이유다.

Google은 이번 버전이 며칠에서 몇 주에 걸쳐 순차 배포된다고 안내했다. 수정판이 아직 보이지 않는다면 Chrome의 업데이트가 조직 정책이나 배포 도구에서 지연되고 있는지 확인해야 한다. Linux 배포판이나 사내 소프트웨어 저장소를 이용하는 환경에서는 Google의 공개 시점과 패키지 제공 시점이 다를 수 있다.

기업 환경에서는 강제 재시작까지 관리해야 한다

관리형 단말에서는 ‘수정 버전 설치’와 ‘수정 버전 실행’을 별도의 준수 상태로 보는 편이 정확하다. 자산 관리 도구에 새 패키지가 설치됐다고 표시돼도 사용자가 기존 브라우저 세션을 유지하면 재시작 대기 상태가 남을 수 있기 때문이다. 운영체제별 설치 버전과 실행 버전, 재시작 대기 여부를 함께 집계해야 한다.

Google의 관리형 Chrome 지침 에 따르면 Windows·macOS·Linux 관리자는 RelaunchNotification 정책으로 재시작을 권고하거나 정해진 기간 뒤 필수로 만들 수 있다. RelaunchNotificationPeriod는 반복 알림 기간을 설정하고, RelaunchWindow는 알림 기간이 끝난 뒤 재실행을 시작할 시간대를 지정한다.

실제 악용이 확인된 이번 사례에서 재시작 권고를 무기한 닫을 수 있게 두면 구형 프로세스가 계속 실행될 수 있다. 반면 강제 재시작은 작성 중인 웹 문서나 회의 같은 브라우저 업무를 중단할 수 있으므로, 관리자는 사전 고지와 유예 시간을 설정한 뒤 기한이 끝나면 실행 버전을 다시 수집해야 한다.

점검 대상에는 업데이트 배포 당시 꺼져 있던 노트북과 휴가자 장비, 원격 근무 단말도 포함된다. 이런 기기는 다음 접속 때 패키지를 받은 뒤에도 재시작이 필요할 수 있으므로 전체 설치 수만으로 조치 완료율을 계산하면 잔여 위험을 놓칠 수 있다.

다른 Chromium 브라우저는 각 공급사 버전으로 확인

CVE-2026-85046이 Chromium의 V8 구성 요소에서 발생했다는 점은 조직이 Chrome 이외의 Chromium 계열 브라우저도 목록화해야 한다는 뜻이다. 다만 Chrome의 152.0.7977.82라는 번호를 Microsoft Edge, Brave, Opera, Vivaldi 같은 다른 제품의 수정 기준으로 그대로 사용할 수는 없다. 각 공급사가 발표한 보안 공지와 제품별 버전을 따로 대조해야 한다.

확장 프로그램 삭제나 캐시 정리는 V8 코드의 취약점을 수정하지 않는다. 백신과 웹 필터가 일부 악성 페이지를 차단할 수는 있지만 브라우저 자체 패치를 대체하지도 않는다. 이번 결함에 대한 직접적인 조치는 수정된 브라우저 빌드를 설치하고 그 빌드로 프로세스를 다시 실행하는 것이다.

현재 공개적으로 확인된 범위는 실제 환경에 익스플로잇이 존재했고 Google이 데스크톱 Chrome 수정판을 배포했다는 데까지다. 개인 사용자의 완료 기준은 재시작 후 운영체제에 맞는 수정 버전이 표시되는지 여부이며, 기업의 완료 기준은 배포율뿐 아니라 실행 버전 준수율과 재시작 대기 단말까지 확인하는 것이다. 공격 캠페인의 구체적인 규모와 표적은 추가 공개를 기다려야 한다.

함께 읽기:

• AI 기본법 표시 의무, 3000만원 과태료 전에 확인할 7가지