Chrome WebGPU Dawn 제로데이 CVE-2026-5281 대응과 공격 표면

실제 공격에 악용된 Dawn WebGPU 취약점

2026년 4월 Google은 Chrome 보안 취약점 21개를 수정하는 긴급 업데이트를 배포했다. 그중 CVE-2026-5281은 Chrome의 WebGPU 구현체인 Dawn에서 확인된 Use-After-Free(UAF) 취약점이다. Google 위협 분석 그룹(TAG)은 실제 공격에서의 악용을 탐지한 뒤 이를 보고했다.

이 취약점은 CWE-416으로 분류되며 CVSS 심각도는 High다. 영향 범위는 Chrome 146.0.7680.177/178 이전 전 버전이다.

해제된 객체 참조가 남을 때 벌어지는 일

Use-After-Free는 메모리가 해제된 뒤에도 해당 영역을 참조하는 코드가 남아 발생한다. 공격자는 해제된 영역이 다른 데이터로 다시 채워지도록 유도한 뒤, 남아 있는 참조를 통해 의도하지 않은 동작을 일으킬 수 있다.

⤢✕

댕글링 포인터는 해제된 메모리 블록을 계속 가리키는 포인터다. 힙 스프레이는 공격자가 같은 크기의 객체를 대량 할당해 해제된 공간의 재할당을 유도하는 방식이다. 재할당된 블록에 가상 함수 테이블 포인터처럼 공격자가 제어하는 데이터를 배치하면 제어 흐름 탈취와 임의 코드 실행으로 이어질 수 있다.

이 과정에서는 메모리 해제와 재사용 사이의 시간 창이 공격 성공률을 좌우한다.

WebGPU 리소스 생명주기가 만드는 공격 표면

Dawn은 Chromium의 WebGPU API 구현체다. GPU 버퍼, 텍스처, 파이프라인 상태 객체를 다루는 과정에서 복잡한 메모리 생명주기를 관리한다. 특히 GPU 명령 큐는 비동기적으로 실행되므로, 객체를 해제한 시점과 실제로 사용하는 시점 사이에 경합 조건이 생길 수 있다.

Dawn의 UAF는 렌더러 프로세스 컨텍스트에서 발생한다. 이미 렌더러를 장악한 공격자에게는 추가 권한 상승 경로가 될 수 있다. Dawn은 Windows에서는 Direct3D 12, macOS에서는 Metal, Linux에서는 Vulkan을 백엔드로 사용하므로 실제 영향은 플랫폼별로 다를 수 있다.

구성 요소	역할	보안 위험도
GPU 버퍼 관리자	메모리 할당/해제	높음 — UAF 발생 지점
명령 인코더	GPU 명령 기록	중간 — 비동기 경합
스왑체인	프레임 버퍼 교환	낮음
셰이더 모듈	WGSL 컴파일	중간 — 입력 검증

렌더러 침투 이후 이어지는 체인

CVE-2026-5281은 단독 취약점보다 익스플로잇 체인의 한 부분으로 활용됐을 가능성이 높다. 악성 페이지가 WebGPU API 호출로 취약 코드 경로를 활성화하고, 별도 취약점으로 렌더러 프로세스를 장악한 뒤 Dawn 내부 GPU 리소스 객체의 UAF를 유발하는 흐름이다.

⤢✕

조작된 WebGPU 명령 시퀀스는 Dawn 내부 객체의 UAF를 일으킬 수 있다. 이후 공격자는 렌더러 프로세스 안에서 임의 코드 실행 권한을 얻고 Chrome 샌드박스 우회를 시도해 호스트 시스템 접근으로 확장할 수 있다.

패치 범위와 조직의 대응 지점

영향은 Chrome에만 국한되지 않는다. Edge, Brave, Opera, Vivaldi 등 Chromium 기반 브라우저도 동일 취약점을 보유한다. 2026년 4월 1일 미국 CISA는 이 항목을 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했고, FCEB(연방 민간 행정부) 기관에는 2026년 4월 15일까지 패치 의무가 부여됐다.

Chrome의 패치 버전은 Windows/macOS에서 146.0.7680.177/178, Linux에서 146.0.7680.177이다. 자동 업데이트가 완료됐더라도 브라우저 재시작이 필요하다. Chromium 기반 브라우저는 각 제품이 업스트림 패치를 반영하기 전까지 취약 상태가 이어질 수 있다.

엔터프라이즈 환경에서는 브라우저 자동 업데이트 정책을 강제하고, 임시 조치로 chrome://flags/#enable-unsafe-webgpu를 통한 WebGPU API 비활성화를 검토할 수 있다. 네트워크 수준에서는 악성 WebGPU 셰이더 코드를 탐지하는 규칙 배포도 대응 항목에 포함된다.

고성능 웹 API와 브라우저 방어

CVE-2026-5281은 2026년 Chrome에서 실제 악용된 네 번째 제로데이이며, WebGPU 관련 공격 표면이 확대되고 있음을 보여준다. WebGPU뿐 아니라 WebAssembly, WebCodecs 같은 고성능 웹 API도 브라우저가 관리해야 하는 경계를 넓힌다.

WebGPU는 OS의 GPU 드라이버와 직접 상호작용하므로 브라우저 취약점이 커널 수준 공격으로 연쇄될 가능성이 있다. 렌더러와 샌드박스 탈출을 결합한 브라우저 풀체인 익스플로잇은 제로데이 시장에서 수백만 달러의 가치를 보유한다.

방어 체계는 Site Isolation을 통한 렌더러 프로세스 격리, GPU 프로세스의 별도 샌드박싱, Dawn 코드에서의 MiraclePtr 같은 UAF 방어 메커니즘 확대, WebGPU 코드 경로를 대상으로 한 정기적 퍼징 캠페인으로 구성할 수 있다. 패치를 배포하는 일과 함께 WebGPU처럼 새로 열린 실행 경로를 운영 정책과 모니터링 범위에 포함해야 한다.