[다이어리포인트=엄주용 기자] 구글 크롬에서 웹페이지를 열기만 해도 윈도우 시스템까지 장악할 수 있는 공격 체인이 발견됐다. 취약점 3개를 연결한 이 공격은 크롬의 보안 샌드박스를 벗어나 외부 코드를 실행할 수 있었으며, 구글은 이를 확인하고 수정한 뒤 25만달러의 포상금을 지급했다.
엑스보우에 따르면 연구자 1명과 인공지능 에이전트는 6일 동안 윈도우용 크롬의 완전한 공격 체인을 구축했다. 문제가 수정되기 전 이 취약점의 영향을 받을 수 있는 크롬 이용자는 전 세계 약 10억명으로 추정됐다.
공격은 세 단계로 구성됐다. 먼저 크롬의 자바스크립트 엔진인 V8의 취약점으로 엔진 샌드박스 안에서 메모리를 제어한 뒤, 애니메이션 WebP 이미지 디코더의 취약점인 CVE-2026-85045를 이용해 샌드박스를 빠져나왔다. 이어 샌드박스 외부에서 작동하는 크롬 충돌 처리기 Crashpad의 CVE-2026-78952를 이용해 전체 코드 실행으로 이어졌다.
공격자가 이 경로를 악용하면 별도의 다운로드나 클릭 없이 웹페이지를 불러오는 것만으로 크롬 바깥에서 프로그램을 실행할 수 있었다. 엑스보우는 이 권한으로 악성코드와 랜섬웨어, 스파이웨어를 설치하거나 이용자의 자격 증명과 파일을 탈취할 수 있다고 설명했다.
엑스보우는 모든 취약점을 구글의 공식 프로그램에 신고했으며, 구글 엔지니어들이 공격을 재현하고 확인한 뒤 수정 사항을 배포했다고 밝혔다. 세 취약점은 현재 수정됐고 실제 크롬 이용자를 대상으로 악용되지는 않았다고 회사 측은 전했다. 크롬은 업데이트가 설치된 뒤에도 재실행해야 수정 사항이 적용될 수 있다.
0개의 댓글
최신순