구글 크롬 Dawn 엔진 Use-After-Free 취약점 (CVE-2026-5281) 분석 및 대응 가이드

1. 공식 보안 패치 적용

가장 확실한 해결책은 크롬 브라우저를 최신 버전으로 업데이트하는 것입니다.

• 데스크톱(Windows, macOS, Linux) 업데이트 방법:
• 크롬 브라우저 실행 후 우측 상단의 더보기 (점 3개) 클릭
• 도움말 -> Google Chrome 정보 선택
• 자동으로 업데이트가 다운로드 및 설치되며, 완료 후 브라우저를 재시작(다시 시작 버튼 클릭)

2. 엔터프라이즈 환경 자동 업데이트 강제화 (GPO)

기업 환경에서는 그룹 정책(GPO)을 통해 임의의 업데이트 지연을 방지하고 강제 업데이트를 수행할 수 있습니다.

• Windows 레지스트리 설정 예시:

  reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Update" /v UpdateDefault /t REG_DWORD /d 1 /f
  reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Update" /v AutoUpdateCheckPeriodMinutes /t REG_DWORD /d 60 /f

3. 임시 완화 조치 (WebGPU 비활성화)

패치 적용 전까지 WebGPU 기능을 비활성화하여 공격 표면을 최소화할 수 있습니다.

• 크롬 실행 인자(CLI Flag)에 --disable-features=WebGPU 옵션을 추가하여 실행합니다.

본 취약점(CVE-2026-5281)은 구글 크롬(Google Chrome)의 WebGPU 구현체인 Dawn 그래픽 엔진에서 발생하는 Use-After-Free(UAF, 해제된 메모리 재사용) 취약점입니다.

공격자가 렌더러 프로세스(Renderer Process)의 제어권을 이미 획득한 상태(샌드박스 내부 혹은 타 취약점 연계)에서, 특수하게 조작된 HTML 페이지를 통해 Dawn 엔진의 메모리 객체 수명 주기를 비정상적으로 조작할 수 있습니다. 이 과정에서 이미 메모리 상에서 해제(Free)된 객체의 포인터를 참조하여 임의의 코드를 실행(RCE)하거나 브라우저 프로세스를 비정상 종료(DoS)시킬 수 있습니다.

본 취약점은 CVSS 8.8의 높은 위험도를 기록하고 있으며, 미 국립사이버안보청(CISA)의 실제 악용 취약점 목록(KEV)에 등재되어 실제 공격에 활용되고 있음이 확인되었습니다. 또한 EPSS 점수가 0.94(94%)에 달해 매우 신속한 패치가 요구됩니다.