구글 크롬 V8 엔진 타입 혼동 취약점 (CVE-2026-85046) - 원격 코드 실행 및 샌드박스 내 임의 코드 실행 위험

1. 공식 보안 패치 적용

가장 확실한 해결책은 구글 크롬 브라우저를 최신 버전으로 업데이트하는 것입니다.

• 데스크톱(Windows, macOS, Linux) 업데이트 방법:
• 크롬 브라우저 실행 후 우측 상단의 더보기(점 3개) -> 도움말 -> Google Chrome 정보를 클릭합니다.
• 브라우저가 자동으로 최신 버전을 확인하고 다운로드합니다.
• 다운로드가 완료되면 다시 시작 버튼을 눌러 패치를 적용합니다.

2. 엔터프라이즈 환경 자동 업데이트 강제화 (GPO/Registry)

기업 환경의 관리자는 그룹 정책(GPO) 또는 레지스트리 설정을 통해 임직원 기기의 크롬 자동 업데이트를 강제할 수 있습니다.

• Windows 레지스트리 설정 예시:

  reg add "HKLM\SOFTWARE\Policies\Google\Update" /v "UpdateDefault" /t REG_DWORD /d 1 /f
  reg add "HKLM\SOFTWARE\Policies\Google\Update" /v "AutoUpdateCheckPeriodMinutes" /t REG_DWORD /d 1440 /f

3. 임시 완화 조치 (패치 적용 전)

즉각적인 업데이트가 어려운 시스템의 경우, 신뢰할 수 없는 외부 웹사이트로의 아웃바운드 접속을 제한하거나 웹 방화벽(WAF) 및 보안 웹 게이트웨이(SWG)를 통해 의심스러운 자바스크립트 실행 패턴을 모니터링하십시오.

본 취약점(CVE-2026-85046)은 구글 크롬의 자바스크립트 및 웹어셈블리 엔진인 V8에서 발생하는 타입 혼동(Type Confusion, CWE-843) 취약점입니다.

공개된 기술 분석에 따르면, 이 취약점은 V8 엔진 내에서 배열 정렬(Sorting) 등의 최적화 연산 과정에서 객체의 내부 표현 형식을 오인하면서 발생합니다. 공격자는 특수하게 제작된 자바스크립트 코드가 포함된 HTML 페이지를 통해 V8 엔진이 특정 메모리 영역의 데이터 타입을 잘못 해석하도록 유도할 수 있습니다. 이로 인해 메모리 안전성(Memory Safety)이 깨지며, 최종적으로 브라우저의 샌드박스(Sandbox) 경계 내부에서 공격자가 의도한 임의의 기계어 코드를 실행(Remote Code Execution)할 수 있는 상태가 됩니다.

특히 본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용된 이력이 확인되었으며, EPSS 점수가 0.94(94%)에 달해 매우 신속한 패치가 요구되는 고위험군 취약점입니다.