Chrome V8 CVE-2026-11645 제로데이와 긴급 브라우저 보안 대응

실제 악용이 확인된 V8 범위 외 메모리 접근

Google은 2026년 6월 8일 Chrome의 V8 JavaScript 엔진에서 실제 공격에 악용된 고심각도 범위 외 메모리 접근 취약점 CVE-2026-11645(Out-of-Bounds Memory Access in V8)의 비상 패치를 배포했다. 2026년에 확인된 다섯 번째 Chrome 제로데이이며, CVSS v3.1 기본 점수는 8.8이다.

조작된 HTML 페이지 방문으로 렌더러 프로세스 안에서 임의 코드 실행이 가능할 수 있다. 여기에 별도 샌드박스 탈출 취약점이 연결되면 호스트 운영체제까지 침해하는 공격 체인으로 확장될 수 있어, 브라우저 업데이트와 엔드포인트 통제가 동시에 요구된다.

CVE-2026-11645는 Chrome의 JavaScript·WebAssembly 실행 엔진인 V8에서 발생하는 범위 외 읽기·쓰기 취약점이다. 익명 연구자 303f06e3이 2026년 4월 27일 Google에 처음 보고했고, 보고자는 $55,000의 버그바운티를 받았다. 이 보상은 Google 기준 고심각도 취약점에 해당하는 수준이다.

V8의 실행 경로는 파서와 AST 생성, Ignition 인터프리터, Turbofan/Maglev 최적화 JIT 컴파일러로 이어진다. 파서는 JavaScript 소스 코드를 추상 구문 트리(AST)로 바꾸며, 악성 스크립트는 이 단계부터 비정상적인 메모리 배치를 유도할 수 있다. Ignition은 AST를 바이트코드로 전환해 초기 실행을 맡고 타입 추론 정보를 수집한다. 이후 최적화 컴파일러가 핫 코드 경로를 네이티브 기계어로 컴파일한다.

문제는 이 최적화 구간이다. 배열 접근의 경계 검사를 제거하는 과정에서 특정 조건에서는 안전하지 않은 접근까지 허용될 수 있다. 타입 혼동이나 경계 검사 누락이 발생하면 할당된 힙 버퍼 바깥 주소를 읽거나 쓰는 상태가 만들어지고, 공격자는 이를 힙 손상으로 이어갈 수 있다.

2026년에 발생한 Chrome 제로데이 5건은 다음과 같다.

CVE	취약점 유형	발견 시점	패치 버전
CVE-2026-2441	CSS use-after-free	2026년 1월	Chrome 147.x
CVE-2026-3909	V8 타입 혼동	2026년 3월	Chrome 148.x
CVE-2026-3910	V8 힙 버퍼 오버플로	2026년 3월	Chrome 148.x
CVE-2026-5281	Chromium 렌더러 UAF	2026년 4월	Chrome 148.x
CVE-2026-11645	V8 범위 외 메모리 접근	2026년 6월	Chrome 149.0.7827.102/103

JIT 최적화가 만드는 메모리 접근 문제

V8은 자체 가비지 컬렉터 Orinoco를 사용하며 JavaScript 객체를 V8 힙에 배치한다. Array나 TypedArray가 생성되면 연속된 메모리 블록과 함께 배열 길이, 실제 데이터 버퍼 포인터가 저장된다.

일반적인 배열 접근에서는 인덱스가 길이 범위 안에 있는지 검사한다. 다만 JIT 컴파일러는 이미 검증된 조건의 중복 검사를 없애 성능을 높인다. CVE-2026-11645에서는 이 최적화 로직의 결함 때문에 특정 JavaScript 패턴에서 경계 검사가 부당하게 제거되고, 힙 버퍼 외부 주소의 읽기·쓰기가 가능해진다.

동적 타입 시스템도 공격 표면에 포함된다. 객체의 실제 타입과 컴파일러가 추론한 타입이 어긋나도록 유도하면, V8이 메모리 영역을 다른 타입으로 해석할 수 있다. 이 불일치는 임의 메모리 읽기·쓰기 프리미티브를 얻는 데 활용될 수 있다.

WebAssembly 모듈의 선형 메모리도 별도의 검토 대상이다. V8이 이를 관리하는 과정에는 복잡한 경계 검사 로직이 포함되며, JIT 컴파일러와 힙 관리, WebAssembly 파싱이 함께 브라우저 공격 표면을 형성한다.

렌더러 코드 실행에서 샌드박스 탈출까지

⤢✕

초기 접근은 악성 웹 서버의 특수 제작 HTML/JavaScript, 광고 네트워크에 삽입된 악성 스크립트를 이용하는 멀버타이징, 이메일·메신저·소셜미디어의 피싱 링크처럼 여러 경로에서 이뤄질 수 있다. 피해자가 페이지를 열면 V8이 스크립트를 파싱·컴파일하고, 취약한 JIT 경로에서 경계 검사 우회가 발생할 수 있다.

공격자는 대량 객체 생성을 통해 힙 레이아웃을 예측 가능한 상태로 조작하는 힙 스프레이를 사용해 범위 외 쓰기가 의도한 위치에 닿도록 유도할 수 있다. 범위 외 읽기로 힙 안의 포인터 값을 노출하면 ASLR이 적용된 환경에서도 메모리 레이아웃을 파악할 수 있고, 이후 ROP 체인 구성에 필요한 가젯 주소를 계산할 수 있다.

함수 포인터 덮어쓰기나 ROP 체인 실행으로 제어 흐름을 바꾸면 렌더러 프로세스 안에서 코드 실행에 도달한다. 이 단계에서는 Chrome 샌드박스가 호스트 접근을 제한한다. 그러나 브라우저 커널 또는 OS 드라이버의 별도 권한 상승 취약점과 체이닝하면 샌드박스를 벗어나 호스트 운영체제 수준의 전체 침해로 이어질 수 있다. 이 패턴은 APT 그룹과 상업적 스파이웨어 벤더가 사용하는 공격 기법이다.

영향 대상과 위험도 판단

CVE-2026-11645의 CVSS v3.1 벡터는 AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H이다. 네트워크 기반 원격 공격이 가능하고 공격 복잡성이 낮으며 낮은 권한으로도 공격할 수 있다. 사용자 인터랙션(UI:R)이 필요하다는 점은 완화 요소지만, 실제 악용이 확인된 상황에서는 운영상 위험도를 낮게 볼 수 없다.

Windows의 Chrome 149.0.7827.102 미만, macOS의 149.0.7827.103 미만, Linux의 149.0.7827.102 미만 버전이 영향을 받는다. V8을 공유하는 Microsoft Edge, Brave, Opera, Vivaldi 같은 Chromium 기반 브라우저도 잠재적으로 영향을 받을 수 있으므로 각 벤더의 패치를 별도로 확인해야 한다.

Electron 기반 데스크톱 애플리케이션인 VS Code, Slack, Discord도 내장 Chromium 버전에 따라 영향을 받을 수 있다. 단일 V8 취약점이 파생 브라우저와 애플리케이션으로 전파되는 구조이므로, 자산 인벤토리에서 브라우저만이 아니라 Chromium 의존 애플리케이션도 함께 확인해야 한다.

특정 APT 그룹이 CVE-2026-11645를 활용했다는 공식 귀속 보고는 아직 없다. 다만 2026년의 브라우저 제로데이 악용 패턴은 국가 지원 위협 행위자와 상업적 스파이웨어 벤더(NSO Group류)가 브라우저 제로데이를 표적 공격에 계속 활용하는 추세를 보여준다. 북한 연계 그룹이 이전 Chrome 제로데이 CVE-2024-4947을 암호화폐 탈취에 악용한 전례도 있다.

Chrome의 전 세계 브라우저 시장 점유율은 60% 이상이다. 운영체제 취약점보다 상대적으로 낮은 비용으로 대규모 사용자를 노릴 수 있다는 점에서, V8 엔진 취약점 하나가 수십억 명에게 잠재적 위험을 제기할 수 있다.

패치 정책과 브라우저 방어 계층

가장 먼저 해야 할 일은 Chrome을 149.0.7827.102 이상으로 업데이트하는 것이다. Chrome 메뉴의 점 세 개 아이콘에서 도움말, Chrome 정보로 이동해 현재 버전을 확인하고 업데이트를 적용할 수 있다. 브라우저를 재시작한 뒤 버전 번호까지 확인해야 한다.

기업 환경에서는 Google Chrome Browser Cloud Management를 통한 자동 업데이트 강제와 패치 준수율 모니터링이 필요하다. GPO(Group Policy Object) 또는 MDM(Mobile Device Management) 정책으로 Chrome 업데이트를 제어할 수 있으며, 자산 인벤토리 시스템과 취약점 스캐너로 취약 버전 엔드포인트를 식별해야 한다.

CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 CVE-2026-11645가 등재될 경우 연방 기관과 계약업체에는 14일 이내 패치 적용 의무가 발생한다. 민간 기업도 이를 대응 기준으로 참고할 수 있다.

사이트 격리도 방어 계층으로 활용할 수 있다. 엔터프라이즈에서는 SitePerProcess=Enabled 정책으로 사이트별 렌더러 프로세스 분리를 강제해 교차 사이트 데이터 유출 위험을 줄인다. V8 Heap Sandbox는 최신 Chrome에서 기본 활성화되어 있으며, 렌더러 프로세스 내 코드 실행이 더 넓은 프로세스 주소 공간에 접근하는 것을 제한한다. 다만 범위 외 접근 자체를 완전히 차단하지는 못한다.

탐지 체계에서는 EDR·NDR을 통해 브라우저 프로세스의 이상 행위를 모니터링한다. 렌더러 프로세스(chrome.exe --renderer 또는 chrome --type=renderer)에서 비정상적인 자식 프로세스 생성, 비정상 네트워크 연결, 민감 디렉터리 접근 시도를 탐지 규칙으로 설정할 수 있다. 엔터프라이즈 웹 프록시에서 알려진 악성 도메인과 URL을 차단하는 일도 초기 접근 벡터를 줄이는 데 효과적이다.

메모리 안전성부터 공급망까지 이어지는 운영 과제

범위 외 메모리 접근은 C/C++의 메모리 안전성 부재와 연결되는 고전적 취약점 범주다. C++로 작성된 V8 역시 이 위험에 노출되며, Google은 장기적으로 Rust 등 메모리 안전 언어로의 전환을 검토하고 있다. 스택 오버플로, 힙 오버플로, 포맷 스트링, Use-After-Free와 ASLR, DEP/NX, Stack Canary, RELRO 같은 방어 기법은 이 사례를 해석하는 기반이 된다.

Chrome의 다중 프로세스 아키텍처는 최소 권한 원칙을 브라우저에 적용한 사례다. 렌더러 프로세스는 브라우저 커널 프로세스보다 제한된 권한으로 실행되고, 사이트 격리는 이를 더 세분화한다. 다만 이 취약점처럼 샌드박스 탈출 취약점과 결합할 수 있는 경우가 있으므로, 샌드박스 하나에만 의존하지 않는 심층 방어가 필요하다.

CVE와 CVSS는 취약점 위험도를 평가하는 국제 표준이며, Google의 버그바운티 프로그램은 외부 연구자를 통한 선제 발견 방식이다. 브라우저는 기업 내부 시스템에 대한 잠재적 침입 경로이므로, Zero Trust 관점에서 패치 관리와 엔드포인트 보안은 핵심 통제 항목이 된다.

Chromium 기반 브라우저와 Electron 애플리케이션으로 이어지는 영향 범위는 오픈소스 공급망 리스크도 드러낸다. 하나의 취약점이 여러 파생 제품에 영향을 줄 수 있으므로 소프트웨어 구성 분석(SCA, Software Composition Analysis)과 자산 관리 범위에 이를 포함해야 한다.

V8 공격 표면과 패치 자동화의 방향

2026년 Chrome에서는 평균 약 6주에 한 번꼴로 제로데이 비상 패치가 발생하고 있다. 브라우저가 현대 사이버 공격의 빈번한 진입점이라는 뜻인 동시에, Google의 취약점 대응 체계가 일정 수준 성숙했음을 반영한다.

V8 관련 공격 표면은 JIT 컴파일러, 힙 관리, WebAssembly 파싱에 집중될 것으로 예상된다. 고성능·저지연 특성 때문에 JIT에서 경계 검사를 완전히 유지하기 어렵고, WebAssembly 채택 확대는 새로운 공격 표면을 계속 넓히고 있다.

방어 측면에서는 V8 Heap Sandbox 강화와 CFI(Control Flow Integrity) 적용 확대가 진행 중이다. Google은 MiraclePtr(PartitionAlloc 기반 Use-After-Free 완화) 같은 메모리 안전성 강화 기술을 Chrome에 지속적으로 도입하고 있으며, Rust 기반 컴포넌트 도입을 통한 근본적 메모리 안전성 확보를 장기 방향으로 제시하고 있다.

Google의 OSS-Fuzz 프로젝트와 AI 기반 퍼징 도구의 결합도 V8 취약점 선제 발견 능력을 높이고 있다. 이는 공격자의 익스플로잇 개발 시간을 압박하는 효과를 가져온다.

Chrome 패치 주기가 짧아지면서 엔터프라이즈 환경에서는 수동 업데이트 관리만으로 대응하기 어려워졌다. Chrome Browser Cloud Management, Microsoft Intune 연동, 서드파티 패치 관리 솔루션을 이용한 자동화 체계가 2026년 기업 보안팀의 핵심 과제가 되고 있다.