모든 Chromium 버전에서 활발히 악용되는 샌드박스 RCE 발견
Actively exploited sandbox RCE in all Chromium versions
CVE-2026-85046으로 등록된 이 취약점은 Google Chrome 152.0.7977.82 이전 버전의 V8 엔진에서 발생하는 타입 혼동(Type Confusion)으로, 원격 공격자가 조작된 HTML 페이지를 통해 샌드박스 내에서 임의 코드를 실행할 수 있게 합니다. Chromium 보안 심각도는 '높음'이며, CISA의 KEV(알려진 악용 취약점) 카탈로그에 등재되어 2026년 9월 18일까지 패치 적용이 권고되었습니다.
원격 공격자가 조작된 HTML 페이지를 통해 샌드박스 내에서 임의 코드를 실행할 수 있습니다.
HN 토론
434- david_shaw
잠시 이 취약점의 금전적 가치에 대해 이야기해 보자.
Chrome 릴리스 페이지(https://chromereleases.googleblog.com/2026/09/stable-channel...)에 따르면, Google은 이 취약점을 윤리적으로 신고한 연구원에게 1000달러를 지불했다.
관련 CVE(CVE-2026-85046)는 이미 실제 공격에 악용되고 있다. 생각을 좀 해 보면, 이 취약점의 실제 가치는 얼마라고 생각하는가? Google 같은 조직이 이 취약점이 발견되고 실제로 악용되기 전에 내부적으로 탐지하기 위해 AI 토큰이나 컴퓨팅 비용으로 얼마를 지출할 것 같은가?
윤리적 공개는 복잡한 주제다. 연구원들이 버그를 인질로 잡고 몸값을 요구하거나 높은 대가를 요구해서는 안 되기 때문이다. 하지만 동시에, 누군가 이렇게 중요한 이슈를 제출한다면, 그 버그의 실제 가치만큼 지불하는 것이 이치에 맞다. 연구원이 버그를 '연구 회사'나 3글자 기관에 파는 대신 책임감 있게 공급업체에 알렸다는 이유로 사실상 불이익을 받아야 하는 이유가 무엇인가?
커뮤니티에 무언가를 제공하려는 오픈소스 프로젝트 유지관리자라면 이야기가 다르다. 하지만 Google이라면 계산이 훨씬 다르다.
- publlus_enigma
대부분의 웹 페이지에 접근하기 위한 필수 조건으로 인터넷을 통해 전달되는 임의 코드(JavaScript 및 WASM 형태)를 실행하는 것을 정상화한 것은 우리가 내린 최고의 결정 중 하나가 아니었을 수 있다.
- jokoon
나는 Firefox를 선호하지만, Firefox도 비슷한 익스플로잇의 역사가 더 많지 않나?
- no-name-here
HN 제목이 '모든 Chromium 버전'에 영향을 미친다는 것이 사실인가?
OP 링크에 따르면, .82 이전 버전의 Chrome에만 영향을 미치며, .82는 이틀 전에 안정 버전으로 출시되었다. [1]
(HN 제목은 원래 제목인 CVE ID와도 일치하지 않는다. 특별히 직관적이지 않다.)
[1] https://chromereleases.googleblog.com/2026/09/stable-channel...
- ruuda
> V8의 타입 혼동
다행히 나는 js를 기본적으로 비활성화했다. 불행히도, 그렇게 하면 웹의 약 30%가 깨진다. nvd.nist.gov도 포함되는데, js를 활성화하면 정적 콘텐츠만 있는 단순한 페이지일 뿐인데도 js 없이는 완전히 빈 페이지를 보여준다.
- throwatdem12311
정말 지쳤다. 그냥 청소부로 취직해서 인터넷을 끊어버릴까 봐.
- claiir
대규모 Chrome 취약점은 모두 타입 혼동 아닌가?
- Cider9986
Brave가 업데이트 적시성에서 GrapheneOS를 이기고 있다:
https://github.com/GrapheneOS/Vanadium/releases
https://github.com/brave/brave-browser/releases
Nightly를 사용하는 경우에만 해당되며, 아닐 수도 있다.
- neuroticnews25
이제 공격자들이 chromium 저장소의 모든 새 커밋을 분석하여 보안상 이유로 403이 뜨는 이슈에 연결하는 것을 LLM이 쉽게 할 수 있을 것 같다. 하지만 내가 뭔가 놓치고 있을 수도 있다.
- throwaway27448
좋아. 이제 진짜 유출 좀 보자.