CVE-2026-125350: 크롬 XML 제로데이 야생에서 악용됨

Google은 이미 실제 공격에서 악용되고 있는 Google Chrome XML 구성 요소의 높은 심각도의 제로데이 취약점 CVE-2026-125350을 해결하는 긴급 보안 업데이트를 발표했습니다. 이 문제는 메모리 안전성을 위한 유스 애프터 프리(use-after-free) 결함으로 분류되었으며, 이 부문은 2026년 11월 6일 Google에 익명으로 보고되었습니다.

Google은 11월 9일 이 취약점에 대한 익스플로잇이 실제로 존재한다는 것을 확인했습니다. 그러나 공격자가 어떻게 익스플로잇을 배포하는지, 어떤 조직이나 개인이 표적이 되었는지, 또는 취약점이 추가 브라우저 또는 샌드박스 탈출 결함과 연계된 것인지에 대해서는 공개하지 않았습니다. 보안 업데이트가 사용자에게 배포되는 동안 기반 Chromium 버그에 대한 접근은 제한됩니다.

이 수정 사항은 Windows와 macOS용 Chrome Stable 157.0.8103.50/.51 및 Linux용 157.0.8103.50에 포함되어 있습니다. Google은 동일한 취약점을 해결하기 위해 Windows와 macOS용 Extended Stable 156.0.8078.96도 발표했습니다.

영업 문의

CVE-2026-125350은 2026년에 실제로 악용된 것으로 알려진 여덟 번째 Chrome 제로데이입니다. 이는 CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046, CVE-2026-87491에 따라 발생했습니다. 11월 10일 현재 SecurityWeek는 CISA가 새로 공개된 결함을 알려진 악용 취약점 카탈로그에 추가하지 않았다고 보도하고 있습니다.

유스 애프터 프리 취약점은 소프트웨어가 해제된 메모리를 계속 참조할 때 발생합니다. 영향을 받는 코드 및 익스플로잇 기술에 따라, 이러한 메모리 손상은 브라우저 충돌, 데이터 손상 또는 공격자 제어 코드 실행을 초래할 수 있습니다. Google은 관찰된 공격에서 달성된 정확한 영향을 공개하지 않았으므로, 방어자들은 이미 문서화된 전체 시스템 손상 체인이 존재한다고 가정하지 않도록 해야 합니다.

보안 팀은 SOC Prime의 AI 기반 탐지 정보 플랫폼을 사용하여 브라우저 익스플로잇, 의심스러운 하위 프로세스, 페이로드 실행 및 SIEM, EDR, XDR, 데이터 레이크 환경에서 이후의 공격자 행동에 대한 탐지 범위를 강화할 수 있습니다.

브라우저 버전 인벤토리와 엔드포인트 및 네트워크 원격 감시를 결합하여 전개된 의심스러운 프로세스, 비정상적인 브라우저 충돌, 예상치 못한 페이로드 다운로드 및 잠재적으로 악성 웹사이트 방문 후 발생하는 익스플로잇 후 행동을 모니터링하여 CVE-2026-125350을 탐지하세요.

모든 CVE에 대해 탐지 콘텐츠가 제공되지는 않을 수 있습니다. SOC Prime 플랫폼에서 현재 보장 범위를 확인하세요. 관련 탐지가 아직 제공되지 않았다면, 신규 위협 정보와 탐지 콘텐츠가 지속적으로 추가되므로 다시 확인하세요.

CVE-2026-125350 분석

CVE-2026-125350이 영향을 미치는 유스 애프터 프리 조건을 포함한 Google Chrome의 XML 구성 요소가 있는 취약한 릴리스를 말합니다. Google은 이 취약점을 심각도로 높게 평가했지만, 11월 9일 권고안에서는 CVSS 점수나 벡터를 발표하지 않았습니다.

유스 애프터 프리는 메모리가 해제된 후 소프트웨어가 같은 메모리 위치에 액세스를 시도할 때 발생합니다. 공격자가 이후에 해당 메모리에 배치될 내용을 조작할 수 있다면, 그 오래된 참조는 프로그램의 동작을 조작하도록 변경될 수 있습니다.

웹 브라우저에서는 메모리 안전성 취약점이 특히 중요합니다. 왜냐하면 공격자 제어 콘텐츠가 복잡한 브라우저 구성 요소에 의해 계속 처리되기 때문입니다. 그러나 Google은 아직 정확하게 관련된 XML 객체, 버그를 트리거하기 위한 요구 순서, 또는 공격자가 사용한 특정 웹 콘텐츠를 공개하지 않았습니다.

취약점과 관련된 Chromium 문제는 현재 제한되어 있습니다. Google은 기술적 버그 세부 사항에 대한 접근을 대다수 사용자가 패치를 받을 때까지 제한하고 있으며, 타사 소프트웨어에도 결함이 있을 때 제한이 더 오래 지속될 수 있습니다.

이로 인해 몇 가지 중요한 기술적 세부 정보가 아직 알려지지 않았습니다. 이용 가능한 정보들은 악용이 단순히 악성 페이지 방문, 특수 제작된 XML 콘텐츠 열기, 페이지와의 상호 작용 또는 다른 전송 메커니즘을 통해 이루어지는지 확인하지 않습니다. 또한 공격자들이 Chrome 렌더러 내부에서 코드 실행을 달성하고 있는지, 브라우저 샌드박스를 탈출하고 있는지, 또는 다른 결함과 취약점을 결합하고 있는지를 확인하지 않습니다.

Hacker News는 유스 애프터 프리 버그가 데이터 손상, 충돌 또는 임의 코드 실행을 초래할 수 있다고 언급합니다. 이는 이 취약점 클래스의 일반적인 보안 영향에 대한 설명일 뿐이며, CVE-2026-125350에 대해 Google이 확인한 명확한 익스플로잇 체인을 설명하는 것이 아닙니다.

그럼에도 불구하고 Google의 성명은 중요합니다. 왜냐하면 회사가 익스플로잇이 실제로 존재한다는 것을 명확하게 확인했기 때문입니다. 이는 공격에 대한 기술적인 정보가 제한적임에도 불구하고 취약점을 즉각적인 패치 우선 사항으로 취급해야 한다는 것을 의미합니다.

이 취약점은 2026년 11월 6일 Google에 익명으로 보고되었습니다. 단 3일 후인 11월 9일, Google은 Windows, macOS 및 Linux용 안정화된 패치 빌드를 발표하고, 활성화된 익스플로잇을 인정했습니다.

제로데이 수정을 포함한 업데이트는 총 9개의 보안 문제를 해결합니다. 다른 고위험 결함으로는 WebGL의 초기화되지 않은 리소스 문제, FileSystem의 잘못된 인증, Compositing의 버퍼 오버플로우, GPU의 범위를 벗어난 쓰기, V8의 타입 혼란 취약성 및 XML에서 CVE-2026-125346로 추적된 또 다른 유스 애프터 프리 문제가 있습니다. 중간위험도의 GPU 결함 두 개도 패치되었습니다.

같은 릴리스 내 CVE-2026-125346의 존재는 활성화된 익스플루이트 취약점과 구분할 가치가 있습니다. 두 문제 모두 Chrome의 XML 기능에서 유스 애프터 프리 조건을 포함하지만, Google은 오직 CVE-2026-125350이 실제로 악용되고 있다고만 밝혔습니다.

Google은 다음과 같은 수정된 안정적인 버전을 발표했습니다:

플랫폼	수정된 Chrome 안정판 버전
윈도우	157.0.8103.50/.51
macOS	157.0.8103.50/.51
리눅스	157.0.8103.50

Windows와 macOS의 Extended Stable 사용자들은 버전 156.0.8078.96 이상으로 이동해야 합니다.

Chrome 업데이트는 점진적으로 배포되므로, 설치된 브라우저가 즉시 패치된 버전을 받지 않을 수 있습니다. 사용자와 관리자들은 따라서 자동 업데이트가 이미 문제를 해결했음을 가정하지 말고 실제 실행 중인 빌드를 확인해야 합니다.

CVE-2026-125350 PoC 상황도 주의가 필요합니다. Google은 공격자가 작동하는 익스플로잇을 보유하고 있다는 것을 확인했지만, Google이나 두 개의 제공된 보고서 모두 익스플로잇을 재현하는 공개적으로 배포된 개념 증명을 식별하지 않았습니다. Chromium 버그 세부 사항은 제한되어 있어, 방어자들이 취약점을 재현하거나 익스플로잇 특유의 아티팩트를 식별할 수 있는 능력을 제한합니다.

CVE-2026-125350 탐지를 위해 조직은 노출 관리로 시작해야 합니다. 보안 팀은 엔드포인트 전반에 걸쳐 Chrome 버전 인벤토리를 수행하고, 수정된 릴리스보다 오래된 빌드를 실행하고 있는 시스템을 식별해야 합니다. 인터넷에 직접 연결된 서버는 주요 관심사가 아니며, 웹 브라우징에 사용되는 직원 워크스테이션 등은 즉각적인 주의가 필요합니다.

엔드포인트 원격 검사는 추가적인 탐색 기회를 제공합니다. 방어자는 Chrome에서 시작된 비정상적인 프로세스를 조사해야 하며, 특히 명령 인터프리터, 스크립팅 엔진, 시스템 유틸리티 또는 브라우저 활동 직후 나타나는 새로 다운로드된 실행 파일을 주의해야 합니다.

의심스러운 행동으로는 PowerShell, cmd.exe, Windows Script Host, mshta.exe, rundll32.exe 또는 Chrome 관련 프로세스 트리에서 다른 유틸리티의 예상치 못한 실행이 포함될 수 있습니다. 이러한 활동은 이 취약점에 특화된 것은 아니며, 자체적으로는 익스플로잇 증거로 간주되어서는 안되며, 그러나 취약 브라우저 버전 및 의심스러운 브라우징 활동과 결합될 때 유용한 행동 신호를 제공할 수 있습니다.

보안 팀은 또한 엔드포인트 원격 검사를 통해 새로운 프로세스 실행, 파일 생성, 자격 증명 액세스, 지속성 또는 네트워크 연결 이후의 비정상적인 Chrome 충돌 또는 렌더러 오류를 조사해야 합니다. 브라우저 충돌 자체는 일반적이므로, 다른 증거와의 상관관계를 통해 확인할 필요가 있습니다.

웹 프록시, DNS, 안전한 웹 게이트웨이 및 엔드포인트 브라우저 원격 검사는 의심스러운 실행 전에 사용자 활동을 재구성하는 데 도움이 될 수 있습니다. 악용이 의심될 경우, 관련 브라우징 기록 및 네트워크 로그를 보호해야 합니다. 특히 Google이 관찰된 공격에서 사용된 웹사이트나 인프라에 대한 정보를 공개하지 않았기 때문입니다.

현재까지 CVE-2026-125350에 대한 벤더가 공개한 IOCs, 즉 악성 도메인, IP 주소, 페이로드 해시 또는 공격자 인프라는 없습니다. Google도 책임 있는 위협 행위자, 영향을 받은 조직, 캠페인 범위 또는 지리적 타겟팅을 공개하지 않았습니다.

이러한 정적 인디케이터의 부재는 행동 기반 모니터링 및 빠른 브라우저 버전 관리가 특히 중요하다는 것을 의미합니다. 해시 또는 알려진 도메인에만 의존한 검색은 공개적인 공격 인프라가 알려지지 않았을 때, 환경이 익스플로잇을 겪었는지를 신뢰성 있게 판단할 수 없습니다.

Microsoft Edge, Brave, Opera, Vivaldi와 같은 Chromium 기반 브라우저를 사용하는 조직은 자사 벤더 권고문을 모니터링하고 관련 보안 업데이트가 나오면 이를 배포해야 합니다. Hacker News는 특히 이러한 브라우저 사용자에게 벤더가 수정사항을 발표하면 이를 적용할 것을 권고합니다.

CVE-2026-125350 완화

주요 조치는 Google Chrome을 즉시 수정된 버전으로 업데이트하고 수정된 빌드를 실행하기 위해 브라우저를 재시작하는 것입니다.

Google이 발표한 것은:

• Windows용 Chrome 157.0.8103.50/.51
• macOS용 Chrome 157.0.8103.50/.51
• Linux용 Chrome 157.0.8103.50
• Windows와 macOS용 Chrome Extended Stable 156.0.8078.96입니다.

Chrome은 일반적으로 업데이트를 자동으로 다운로드하지만 사용자는 수정된 빌드가 취약한 실행 프로세스를 대체하도록 브라우저를 다시 시작해야 합니다. Hacker News는 업데이트가 설치된 후 추가 정보 → 도움말 → Google Chrome 정보 로 이동하여 다시 시작할 것을 권장합니다.

엔터프라이즈 보안 팀은 다음의 조치를 취해야 합니다:

1. 관리되는 엔드포인트 전체에서 Chrome 버전 인벤토리를 수행합니다.
2. 수정된 안정판 또는 확장 안정판 빌드보다 오래된 버전을 실행 중인 시스템에 우선 순위를 둡니다.
3. 엔터프라이즈 브라우저 관리 도구를 통해 Chrome 업데이트를 강제하거나 가속화합니다.
4. 브라우저가 패치를 받은 후 실제로 재시작되었는지 확인합니다.
5. 즉시 업데이트할 수 없는 엔드포인트는 의심스러운 브라우저 기원 프로세스에 대해 모니터링합니다.
6. 기존 웹 보안 제어를 통해 악의적이거나 새로 등록된 웹 인프라에 대한 접근을 제한합니다.
7. 패치 배포 전에 발생한 의심스러운 Chrome 활동에 대해 보안 원격 검사를 검토합니다.
8. Chromium 기반 브라우저에 대한 벤더 권고문을 모니터링하고 수정 사항이 제공될 때 해당 제품을 업데이트합니다.

이미 실제로 악용이 발생했기 때문에, 패치는 노출되었을 수 있는 시스템에 대한 유일한 대응책이 되어서는 안 됩니다. 관리자는 특히 보안 도구가 비정상적인 Chrome 충돌, 브라우저 시작 명령 실행, 의심스러운 다운로드 또는 신뢰할 수 없는 인프라로의 연결을 기록한 취약한 컴퓨터에서 최근 엔드포인트 활동을 검토하는 것을 고려해야 합니다.

의심스러운 활동이 발견되면, 영향을 받은 엔드포인트를 고립시키고, 브라우저, EDR, DNS, 프록시 및 네트워크 원격 검사를 보존한 다음 복원 조치를 취하세요. 조사자는 이벤트 직전의 브라우저 활동을 재구성하고, 이후 페이로드, 자격 증명 도난, 지속성 또는 횡단 이동이 발생했는지 여부를 결정해야 합니다.

조직은 또한 브라우저가 민감한 웹 세션, 엔터프라이즈 응용 프로그램, 클라우드 콘솔 또는 권한 있는 자격 증명에 액세스할 수 있는 계정으로 실행 중이었는지 확인해야 합니다. 침입 증거에 따라 세션 해지 및 자격 증명 회전이 적합할 수 있습니다.

Google의 제한된 공개는 현재 방어자들이 실제 익스플로잇에 대한 시그너처를 구축할 수 있는 충분한 공개 정보를 가지고 있지 않다는 것을 의미합니다. 이는 신뢰할 수 있는 네트워크 또는 파일 시그너처를 기다리는 것보다는 패치 관리 및 일반적인 익스플로잇 탐지의 중요성을 강조합니다.