구글 크롬 V8 엔진 경계 외 읽기/쓰기 취약점 (CVE-2026-11645) 분석 및 대응 가이드

1. 구글 크롬 브라우저 업데이트 (권장)

사용 중인 크롬 브라우저를 최신 버전으로 업데이트하십시오.

• 데스크톱(Windows/Mac/Linux): 크롬 메뉴(⋮) -> 도움말 -> Google Chrome 정보를 클릭하면 자동으로 업데이트가 다운로드 및 적용됩니다.
• 엔터프라이즈 환경(GPO/명령어): AD 그룹 정책을 통해 자동 업데이트를 강제하거나, 패키지 관리자를 통해 일괄 업데이트를 수행하십시오.

2. 리눅스 환경 크로미움 패키지 업데이트 예시

# 데비안/우분투 계열
sudo apt-get update && sudo apt-get --only-upgrade install google-chrome-stable -y

# 레드햇/CentOS 계열
sudo yum update google-chrome-stable -y

3. 임시 완화 조치 (패치 적용 전)

• 신뢰할 수 없는 외부 웹사이트 및 이메일에 포함된 링크의 접속을 제한하십시오.
• 엔터프라이즈 환경에서는 크롬의 '안전 브라우징(Safe Browsing)' 기능을 활성화하여 악성 사이트 접근을 차단하십시오.

본 취약점(CVE-2026-11645)은 구글 크롬의 자바스크립트 및 웹어셈블리 엔진인 V8에서 발생하는 고위험군 경계 외 읽기(CWE-125) 및 경계 외 쓰기(CWE-787) 취약점입니다.

공격자는 특수하게 제작된 HTML 페이지를 사용자가 방문하도록 유도하여 V8 엔진의 메모리 관리 메커니즘을 우회할 수 있습니다. 이 과정에서 할당된 메모리 버퍼의 경계를 벗어난 영역에 데이터를 쓰거나 읽음으로써, 브라우저의 샌드박스 환경 내부에서 임의의 코드를 실행할 수 있는 권한을 획득하게 됩니다.

본 취약점은 미 정부 CISA의 KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었으며, EPSS 점수가 0.94(94%)에 달해 매우 신속한 패치가 요구됩니다. 비록 샌드박스 내부에서의 코드 실행으로 제한되지만, 다른 운영체제 권한 상승(LPE) 취약점과 결합될 경우 시스템 전체의 제어권을 탈취당할 수 있는 심각한 위협입니다.