구글, 치명적 취약점 7건 포함 보안 결함 37건 수정…CERT-In, 크롬 사용자에 경고

데스크톱 사용자에 크롬 보안 업데이트 설치 권고

인도 컴퓨터 긴급 대응팀(CERT-In)은 2026년 10월 14일 구글 크롬 취약점에 관한 경고를 발표했다. 이 취약점을 악용하면 공격자가 악성 코드를 실행하거나 민감한 정보를 탈취하고, 영향을 받는 컴퓨터의 작동을 방해할 수 있다. 구글은 하루 전 치명적 등급 7건을 포함해 보안 결함 37건을 수정한 업데이트를 배포했다.

영향을 받는 버전은 리눅스의 경우 155.0.8059.79 미만, 윈도우와 macOS의 경우 155.0.8059.79/.80 미만이다. 사용자는 크롬의 ‘정보’ 페이지를 열어 업데이트를 확인하고, 설치를 완료하라는 안내가 나오면 브라우저를 다시 실행해야 한다.

구글이 10월 13일 발표한 데스크톱 버전 출시 공지에는 치명적 취약점 7건, 높음 등급 29건, 중간 등급 1건이 나열돼 있다. 취약점은 그래픽, 문서, 네트워킹, 비밀번호, 웹사이트 명령을 실행하는 소프트웨어 등 여러 영역에 걸쳐 있다.

구글은 업데이트 배포에 며칠에서 몇 주가 걸릴 수 있다고 밝혔다. 따라서 바로 확인했을 때 업데이트가 보이지 않는 사용자는 더 많은 컴퓨터에 배포된 뒤 다시 확인해야 할 수 있다.

어떤 버전을 업데이트해야 하나?

CERT-In의 경고는 윈도우, macOS, 리눅스용 데스크톱 크롬을 대상으로 한다. 홍콩 컴퓨터 긴급 대응팀 조정센터(HKCERT)도 같은 버전을 취약한 버전으로 명시하고, 공급업체의 수정 사항을 설치하라고 권고했다.

• 리눅스: 크롬 155.0.8059.79 이상 설치
• 윈도우: 크롬 155.0.8059.79/.80 이상 설치
• macOS: 크롬 155.0.8059.79/.80 이상 설치

수정 사항은 브라우저 업데이트를 통해 제공되므로 버전 번호를 확인하는 것이 중요하다. 취약점이 있는 버전을 실행 중이어도 컴퓨터에서 웹사이트를 정상적으로 열 수는 있다. 가정에서는 각 컴퓨터의 업데이트를 확인하는 것이 우선이다. 조직은 어떤 컴퓨터에 업데이트가 적용됐는지, 필요한 브라우저 재실행까지 마쳤는지 파악해야 한다.

브라우저 오른쪽 상단의 점 세 개 메뉴에서 도움말, Google Chrome 정보를 차례로 선택하면 크롬 버전을 확인할 수 있다. 이 페이지에서 업데이트가 있는지도 확인된다.

핵심 브라우저 기능에 영향을 주는 치명적 취약점 7건

구글은 CVE-2026-110152를 크롬에서 사용하는 그래픽 구성 요소 ANGLE의 치명적인 버퍼 오버플로 취약점으로 분류했다. 버퍼는 데이터를 담기 위해 확보한 메모리 영역이다. 버퍼 오버플로는 소프트웨어가 해당 영역의 경계를 넘어 데이터를 기록하는 현상으로, 주변 데이터가 손상되거나 공격자가 프로그램의 작동에 간섭할 수 있다.

구글의 출시 공지에 따르면 depthfirst의 Zhenpeng (Leo) Lin이 9월 30일 ANGLE 취약점을 제보했다. 이 취약점은 프로그램 충돌이나 악성 코드 실행으로 이어질 수 있다.

나머지 치명적 취약점 6건은 모두 해제 후 사용(use after free) 오류다. 브라우저, PDF, 네트워크, 코어, SVG, 미디어 구성 요소에 영향을 준다. 이 구성 요소들은 문서와 그래픽 처리부터 네트워크 통신까지 다양한 기능을 담당한다.

해제 후 사용 오류는 소프트웨어가 메모리 공간을 반환한 뒤에도 해당 공간을 계속 사용하는 경우 발생한다. 프로그램이 오래된 저장 공간의 내용이 여전히 자신에게 속한 것처럼 취급하지만, 그 공간에는 이미 다른 데이터가 들어 있을 수 있는 상황을 떠올리면 된다. 공격자가 새로 저장된 내용에 영향을 줘 프로그램을 방해하거나 다른 방향으로 작동하게 할 가능성이 있다.

구글은 치명적 취약점 6건의 식별 번호를 CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148, CVE-2026-110151로 공개했다. ANGLE 취약점까지 합치면 37건 중 7건, 약 5분의 1에 해당한다.

취약한 컴퓨터에서 발생할 수 있는 일

CERT-In은 취약점이 악용될 경우 임의 코드 실행, 민감 정보 유출, 서비스 거부가 발생할 수 있다고 경고했다. 쉽게 말해 공격자가 선택한 명령이 실행되거나, 비공개 데이터가 노출되거나, 소프트웨어가 제대로 작동하지 않게 될 수 있다.

10월 14일 자 HKCERT의 크롬 보안 공지에는 권한 상승과 보안 제한 우회라는 영향도 추가로 나와 있다. 권한 상승은 일반적으로 허용되는 범위를 넘어선 권한을 얻는 것을 뜻하며, 보안 제한 우회는 보호 규칙을 피해 가는 것을 의미한다.

HKCERT는 공지 전체에 중간 위험 등급을 부여했지만, 구글은 개별 취약점 7건을 치명적으로 분류했다. 두 기관의 평가는 범위가 다르다. HKCERT는 공지 전체에 등급을 매기고, 구글은 취약점마다 별도로 등급을 지정한다. HKCERT가 권고한 조치는 수정 사항을 적용하는 것이다.

HKCERT 공지에는 CVE-2026-110136부터 CVE-2026-110172까지 나열돼 있으며, 총 37개 식별 번호가 포함된다. CVE 번호는 취약점 참조 번호로, 소프트웨어 제작사와 관리자가 여러 공지와 업데이트에 걸쳐 같은 보안 문제를 추적할 수 있도록 한다.

비밀번호, 자바스크립트, 문서 처리도 영향받아

구글이 수정한 높음 등급 취약점 29건에는 크롬의 자바스크립트 엔진인 V8의 문제가 포함된다. 자바스크립트는 여러 웹사이트에서 상호작용 기능을 구현하는 데 쓰이는 명령어다. 브라우저가 이 명령어를 처리하는 과정에서 엔진의 취약점이 드러날 수 있다.

V8 관련 항목에는 유형 혼동 취약점 CVE-2026-110140과 해제 후 사용 취약점 2건인 CVE-2026-110168, CVE-2026-110169가 포함된다. 유형 혼동은 소프트웨어가 데이터를 실제와 다른 종류의 데이터로 처리하는 문제로, 안전하지 않은 메모리 작업으로 이어질 수 있다.

크롬의 비밀번호 구성 요소에서는 정보 유출 1건과 해제 후 사용 오류 2건 등 높음 등급 취약점 3건이 확인됐다. 확장 프로그램, WebRTC, DOM, Canvas, PDFium과 관련된 수정 사항도 있다. 이 구성 요소들은 추가 기능, 브라우저 통신, 웹페이지 구조, 그림 그리기, PDF 처리 등을 지원한다.

구글은 ReadingMode, Installer, Updater, Mojo에서 권한 관련 취약점도 확인했다. 예를 들어 인증 오류는 프로그램이 특정 작업의 허용 여부를 제대로 확인하는지와 관련된 문제다. 중간 등급 취약점은 FileSystem의 해제 후 사용 취약점 1건이며, 식별 번호는 CVE-2026-110142다.

취약점 목록이 광범위한 만큼 이번 업데이트는 특정 브라우징 활동에만 국한되지 않는다. 크롬은 텍스트, 스크립트, 그래픽, 문서, 네트워크 데이터를 처리하며, 이번 업데이트는 이 가운데 여러 처리 과정의 취약점을 수정한다.

취약점을 제보한 사람들

구글의 공로 표시에 따르면 앤스로픽의 Xinyang Ge는 Claude의 도움을 받아 9월 28일 높음 등급 V8 취약점 CVE-2026-110169를 제보했다. 공지에는 연구자와 소속 기관, 지원 사실이 나와 있지만 Claude가 어떤 역할을 했는지는 구체적으로 설명하지 않는다.

구글은 PDF, SVG, 미디어의 치명적 취약점 여러 건을 포함해 다른 취약점도 Xinyang Ge가 제보했다고 밝혔다. 치명적 브라우저, 네트워크, 코어 오류는 구글이 직접 보고했다. 그 밖에 이름이 공개된 제보자로는 Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa, Andrew Boni가 있다.

제보 날짜를 보면 이번 업데이트에는 몇 달에 걸쳐 발견된 취약점이 함께 포함됐다. 구글 목록에는 3월 25일 제보된 Bindings 취약점과 10월 6일 제보된 최신 미디어 취약점이 있다. 이 취약점들은 이번 안정화 버전 업데이트에서 함께 수정됐다.

일부 기술 정보가 공개되지 않는 이유

구글은 사용자에게 업데이트가 배포되는 동안 일부 버그 기록에 대한 접근이 제한될 수 있다고 밝혔다. 구글 크롬 출시 공지를 작성한 Srinivas Sista는 회사의 공개 정책을 다음과 같이 설명했다.

대다수 사용자가 수정 사항을 적용한 업데이트를 받을 때까지 버그 상세 정보와 링크에 대한 접근을 제한할 수 있습니다.

구글은 아직 수정되지 않은 다른 프로젝트에서도 사용하는 라이브러리에 취약점이 영향을 미치는 경우 제한이 계속될 수 있다고 덧붙였다. 라이브러리는 재사용할 수 있는 소프트웨어이므로 동일한 근본 오류를 여러 개발팀이 수정해야 할 수 있다.

출시 공지는 영향을 받는 구성 요소와 오류 유형을 공개하면서도 일부 세부 기술 기록에 대한 접근은 제한한다. 사용자에게 실질적으로 중요한 정보는 수정 사항이 포함된 버전이다. 관리자는 식별 번호를 활용해 이번 업데이트를 취약점 추적 자료 및 소프트웨어 목록과 대조할 수 있다.

연구 제보부터 공개 경고까지

주요 날짜를 보면 개별 취약점이 브라우저 업데이트로 이어지고, 이후 공개 보안 경고가 발표된 과정을 확인할 수 있다.

• 2026년 9월 28일: 앤스로픽의 Xinyang Ge가 Claude의 도움을 받아 V8의 CVE-2026-110169를 제보했다.
• 9월 30일: depthfirst의 Zhenpeng (Leo) Lin이 치명적인 ANGLE 버퍼 오버플로 취약점을 제보했다.
• 10월 1~6일: 구글과 다른 연구자들이 이번 업데이트에 포함된 치명적 및 높음 등급 취약점을 추가로 제보했다.
• 10월 13일: 구글이 보안 수정 사항 37건을 포함한 크롬 안정화 버전 업데이트를 발표했다.
• 10월 14일: CERT-In이 경고를 발표하고 HKCERT가 같은 식별 번호 37개를 다룬 공지를 공개했다.

구글이 발표한 출시일은 배포가 시작된 시점이다. 배포에 며칠에서 몇 주가 걸릴 수 있다고 밝힌 만큼 공지 이후에도 업데이트가 계속 제공된다. 처음 확인했을 때 업데이트가 표시되지 않는 컴퓨터는 다시 확인하는 것이 좋다.

업데이트 완료 방법

크롬 사용자는 브라우저에 내장된 업데이트 화면에서 업데이트를 시작할 수 있다. 절차는 다음과 같다.

• 크롬을 열고 오른쪽 상단의 점 세 개 메뉴를 선택한다.
• 도움말을 선택한 다음 Google Chrome 정보를 선택한다.
• 크롬이 업데이트를 확인하고 다운로드하도록 기다린다.
• 저장하지 않은 작업을 저장하고, 안내가 나오면 다시 시작을 선택한다.
• 정보 페이지로 돌아가 설치된 버전을 확인한다.

업데이트를 다운로드하는 것과 업데이트된 브라우저를 실행하는 것은 별개의 단계이므로 다시 실행하는 과정이 중요하다. 이전 브라우저 세션을 열어 두면 설치 완료가 늦어질 수 있다.

조직은 브라우저를 거의 닫지 않는 사용자의 기기를 포함해 데스크톱 컴퓨터에 설치된 버전을 확인해야 한다. 목표는 수정 사항이 포함된 버전이 실행되고, 필요한 재시작까지 완료됐는지 확인하는 것이다.

아직 업데이트가 보이지 않는 사용자는 구글의 배포가 진행되는 동안 다시 확인해야 한다. 공식 출시 공지에 따르면 배포에는 며칠에서 몇 주가 걸릴 수 있으므로, 발표 당일 모든 컴퓨터에서 업데이트를 확인할 수 있을 것으로 기대해서는 안 된다.

엣지 사용자도 수정 사항을 확인해야

마이크로소프트 엣지는 크롬의 기반이 되는 브라우저 플랫폼인 크로미움을 사용한다. 따라서 공유 소프트웨어의 일부 취약점은 엣지에서도 수정이 필요할 수 있다.

마이크로소프트는 10월 13일 자 공지에서 최신 크로미움 보안 수정 사항을 확인했으며 업데이트를 준비 중이라고 밝혔다. 경고가 발표된 시점에는 이에 해당하는 안정화 채널 보안 업데이트가 아직 출시되지 않았고, 마이크로소프트는 출시 날짜도 밝히지 않았다.

엣지 사용자는 마이크로소프트의 업데이트가 제공되는 대로 확인해야 한다. 두 브라우저를 모두 사용하는 사람은 각각 업데이트를 확인해야 한다. 크롬 보안 업데이트는 구글을 통해 제공되고, 엣지 업데이트는 마이크로소프트를 통해 제공된다.

핵심 내용

• CERT-In은 2026년 10월 14일 데스크톱 크롬 사용자에게 데이터 노출, 소프트웨어 작동 방해, 악성 코드 실행으로 이어질 수 있는 취약점을 경고했다.
• 구글은 10월 13일 치명적 취약점 7건, 높음 등급 29건, 중간 등급 1건 등 총 37건을 수정한 업데이트를 발표했다.
• 수정 버전은 리눅스 155.0.8059.79, 윈도우와 macOS 155.0.8059.79/.80이며, 이후 버전도 해당된다.
• 사용자는 도움말에서 Google Chrome 정보를 열어 업데이트를 설치하고, 안내가 나오면 브라우저를 다시 실행해야 한다.
• 구글은 배포에 며칠에서 몇 주가 걸릴 수 있다고 밝혔다. 마이크로소프트는 이에 해당하는 엣지 안정화 버전 업데이트 날짜를 아직 발표하지 않았다.