크롬 제로데이 실전 악용, 지갑 켜져 있다면 업데이트를

구글이 크롬 브라우저의 V8 엔진에서 발견된 고위험 취약점(CVE-2026-85046)이 이미 실제 공격에 쓰이고 있다고 확인하고 긴급 패치를 배포했다. 공격자나 피해자, 구체적 악용 방식은 아직 공개되지 않았다.

구글이 확인한 것은 무엇인가

구글은 목요일 발표한 보안 공지에서 "Google is aware that an exploit for CVE-2026-85046 exists in the wild"라고 밝혔다. 취약점이 이미 실제 환경에서 악용되고 있다는 뜻이다.

이번 패치는 12개의 보안 수정 사항을 포함하며 이 가운데 9개가 고위험, 2개가 중간 위험으로 분류됐다. CVE-2026-85046은 이 중에서도 실제 공격 사례가 확인된 유일한 항목이다.

구글은 대다수 사용자와 관련 서드파티 프로젝트가 패치를 적용할 때까지 취약점의 세부 내용을 공개하지 않기로 했다. 공격자가 누구인지, 어떤 대상을 노렸는지도 아직 밝히지 않았다.

• CVE-2026-85046: 실제 악용 확인된 고위험 취약점
• 보안 수정 총 12건 (고위험 9, 중간위험 2)
• 버그바운티 1,000달러, 신고일 8월 4일

구글이 확인한 수정 12건의 위험도와 공격자 미공개 상태를 한 화면에 정리했다.

어떤 취약점이길래 이렇게 급했나

CVE-2026-85046은 타입 컨퓨전(type-confusion) 버그로, 소프트웨어가 데이터를 잘못된 형식으로 처리해 메모리 오류나 예상치 못한 동작을 일으키는 결함이다.

문제가 발생한 부분은 크롬이 자바스크립트와 웹어셈블리를 실행할 때 쓰는 V8 엔진이다. 웹페이지를 여는 것만으로 이 엔진이 작동하기 때문에 영향 범위가 넓다.

구글은 이 취약점으로 원격 코드 실행이 가능한지는 아직 언급하지 않았다. 보안 연구자 살바토레 굴리지아(온라인명 Serotav)가 지난 8월 4일 이 결함을 신고했고, 구글은 1,000달러의 버그바운티를 지급했다.

이번 사건의 암호화폐 연관성 미확인 상태와 과거 지갑 탈취 사례 두 건을 비교했다.

지금 크롬을 켜서 뭘 확인해야 하나

패치는 윈도우·맥용 크롬 152.0.7977.82와 152.0.7977.83, 리눅스용 152.0.7977.82 버전에 담겼다. 크롬 설정의 '정보' 메뉴에서 현재 버전을 확인하고 최신 버전이 아니면 즉시 업데이트해야 한다.

구글은 이번 업데이트가 "앞으로 며칠에서 몇 주에 걸쳐(coming days/weeks)" 순차 배포된다고 밝혔다. 자동 업데이트를 켜뒀더라도 실제로 적용됐는지 버전을 직접 확인하는 편이 안전하다.

국내 거래소 웹 지갑이나 브라우저 확장 지갑을 쓰는 투자자라면 이 확인이 특히 중요하다. 브라우저가 열려 있는 동안 V8 엔진이 계속 실행되는 만큼, 패치 전까지는 불필요한 웹페이지 열람을 줄이는 것이 낫다.

운영체제별로 확인할 크롬 버전과 순차 배포 일정을 보여준다.

구글은 왜 아직 암호화폐 연관성을 인정하지 않았나

구글은 CVE-2026-85046을 암호화폐 탈취 공격과 연결 짓지 않았다. 다만 브라우저 지갑, 거래소 계정, 트레이딩 확장 프로그램이 다른 방식의 공격으로 표적이 된 전례는 있다.

2025년 11월에는 악성 크롬 확장 프로그램이 사용자의 스왑 거래에 숨겨진 솔라나(SOL) 전송을 끼워 넣는 사례가 발견됐다. 이번 취약점과는 별개 사건이다.

같은 해 12월에는 싱가포르의 한 창업자가 게임으로 위장한 악성코드에 브라우저 연결 지갑에서 1만4,000달러 넘게 탈취당했다고 밝혔다. 그는 탈취된 인증 토큰과 이전 크롬 제로데이가 관련됐다고 봤지만, CVE-2026-85046과의 연관성은 보도되지 않았다.

패치 확산 이후의 정보 공개와 가짜 확장 프로그램 주의사항을 보여준다.

패치 이후, 언제 더 알 수 있나

구글은 취약점 악용 사례에 대한 추가 정보를 공개할 시점을 밝히지 않았다. 통상 구글은 사용자 대부분이 패치를 적용한 뒤 상세 내용을 공개해 왔다.

지난달에는 가짜 파이어폭스 지갑 확장 프로그램 수십 개가 지갑 인증정보를 훔치는 사례도 확인됐다. 브라우저 확장 프로그램 자체의 출처를 확인하는 습관이 함께 필요하다는 뜻이다.

이 기사는 구글이 공격자·피해자·구체적 악용 경로를 공개하는 시점에 맞춰 업데이트할 예정이다.

양반개미 기자 · 정책·위험 분석 기자서학개미 캐릭터 기자 · AI 보조 및 편집진 검토 투자 유의사항

이 기사는 특정 자산의 매수·매도를 권유하지 않는다. 브라우저 취약점과 지갑 보안 대응은 투자 손실 자체와는 다른 문제이지만, 확장 프로그램 설치나 웹페이지 접속 여부에 대한 최종 판단과 그로 인한 자산 피해의 책임은 이용자 본인에게 있다.