실제 공격에 악용된 Chrome V8 취약점, 조직 단말 업데이트 점검 필요

오늘의 핵심

Google이 실제 공격에서 악용된 V8 엔진 취약점 CVE-2026-85046을 수정한 Chrome 152 업데이트를 배포했다. 웹·앱 운영사는 자동 업데이트 여부만 믿지 말고 업무 단말의 설치 버전과 재시작 완료 상태를 확인해야 한다.

확인된 사실

• Google은 9월 3일 데스크톱 Chrome 안정화 채널을 Windows·macOS 152.0.7977.82/.83, Linux 152.0.7977.82로 업데이트했다. 근거 [1] [2] [3]
• 이번 업데이트에는 12건의 보안 수정이 포함됐으며, 그중 CVE-2026-85046은 V8 엔진의 고위험 타입 혼동 취약점이다. 근거 [1] [2] [3]
• Google은 CVE-2026-85046을 악용하는 공격 코드가 실제 환경에 존재한다고 확인했다. 근거 [1] [2] [3]
• Chrome 업데이트는 단계적으로 배포되므로 자동 업데이트가 설정돼 있어도 모든 업무 단말이 즉시 수정 버전에 도달했다고 단정할 수 없다. 근거 [1] [2] [3]

왜 중요한가

• 브라우저는 이메일, 협업 도구, 관리자 콘솔 등 핵심 업무 서비스의 접점이므로 실제 악용 취약점은 일반 패치보다 우선순위를 높여야 한다.
• 자동 업데이트 정책이 있어도 장기간 브라우저를 재시작하지 않은 단말이나 관리 밖의 개인·외주 단말에는 이전 버전이 남을 수 있다.
• 웹 서비스 운영팀도 개발자·CS·콘텐츠 관리자처럼 권한이 높은 사용자의 브라우저 상태를 우선 확인할 필요가 있다.

inxight의 관점

• 이번 대응의 핵심은 업데이트 배포 여부가 아니라 수정 버전 실행과 브라우저 재시작까지 증거로 확인하는 것이다.
• 브라우저 취약점 대응을 IT 부서의 일회성 공지로 끝내지 말고, 자산 목록·버전 준수율·예외 단말 담당자를 연결한 운영 절차로 관리해야 한다.
• Chromium 기반 다른 브라우저는 각 공급사의 수정 버전 공개 여부가 다를 수 있으므로 Chrome 버전 번호를 그대로 적용하지 말고 제품별 공지를 확인해야 한다.

실무 체크리스트

• 업무용 Windows·macOS Chrome이 152.0.7977.82/.83 이상, Linux Chrome이 152.0.7977.82 이상인지 자산 관리 도구로 확인한다.
• 업데이트가 내려받아졌지만 적용되지 않은 단말에는 브라우저 재시작을 안내하고 완료 여부를 다시 집계한다.
• 관리자 계정과 민감정보에 접근하는 임직원·개발자·외주 인력 단말을 우선 점검한다.
• Edge 등 다른 Chromium 기반 브라우저는 해당 공급사의 보안 공지와 수정 버전을 별도로 확인한다.
• 패치 완료 전까지 의심스러운 링크와 신뢰할 수 없는 웹페이지 접근 주의를 사내에 공지한다.