조작된 웹 페이지를 여는 것만으로 악용될 수 있는 Google Chrome 취약점의 해설입니다. 무슨 일이 일어나는지, 영향받는 버전과 수정된 버전, 개인과 관리자가 해야 할 일을 방어하는 쪽의 관점에서, 공격 절차 없이 설명합니다.
- CVE
- CVE-2026-125350 (Chromium 이슈 582442907)
- 심각도
- Chromium 심각도 High. CVSS v3.1 8.8 (AV:N/AC:L/PR:N/UI:R. CISA의 ADP가 부여)
- 유형
- XML의 use-after-free(CWE-416). 샌드박스 안에서 임의 코드 실행
- 영향 대상
- Google Chrome 157.0.8103.50 미만(CVE 레코드). KEV는 Edge와 Opera 같은 Chromium 기반 브라우저에도 영향이 있을 수 있다고 함
- 수정
- Chrome Stable 157.0.8103.50 (Windows와 Mac은 157.0.8103.50/.51, Linux는 157.0.8103.50)
- 날짜
- Chrome Releases 게시: 2026년 11월 9일. CVE 레코드 공개: 11월 10일
- 악용
- Google은 실제 악용 코드의 존재를 인지하고 있다고 밝힘. 11월 10일 CISA KEV에 추가(기한 11월 24일)
방치할 때의 위험
이런 결함은 페이지를 보는 것만으로 공격자에게 발판을 줄 수 있습니다. 샌드박스 안에서의 코드 실행은 기기 전체의 장악은 아니지만, 브라우저 공격에서는 흔히 이를 첫 단계로 삼아 다른 결함과 연쇄시킵니다. 이 CVE에서 그런 일이 있었는지는 공개 정보로는 확인할 수 없습니다.
어떤 취약점인가
CVE 레코드는 157.0.8103.50 미만 Chrome의 XML 구성 요소에 있는 use-after-free(해제된 뒤의 메모리 사용)를 설명합니다. 원격 공격자가 조작된 HTML 페이지를 통해 샌드박스 안에서 임의의 코드를 실행할 수 있었습니다. Google의 릴리스 노트에서 심각도는 High이고, 보고자는 익명이며, 보고일은 2026년 11월 6일입니다.
- 사용자가 조작된 페이지를 열어야 합니다(CVSS 벡터의 UI:R).
- Google도 본 사이트도 공격 절차나 코드를 공개하지 않습니다.
- Google은 대부분의 사용자가 업데이트할 때까지 버그 세부 정보를 제한할 수 있다고 밝히고 있습니다.
같은 업데이트에서 또 다른 XML use-after-free(CVE-2026-125346)도 수정되지만, Google이 실제 악용 코드를 언급한 것은 CVE-2026-125350뿐입니다. 이 업데이트에는 모두 9건의 보안 수정이 들어 있습니다.
영향 대상
| 항목 | 내용 |
|---|---|
| 제품 | Google Chrome(데스크톱) |
| 영향받는 버전 | 157.0.8103.50 미만(CVE 레코드) |
| 수정(Stable) | Windows와 Mac: 157.0.8103.50/.51. Linux: 157.0.8103.50 |
| 다른 Chromium 기반 브라우저 | KEV는 Edge, Opera 등에 영향이 있을 수 있다고 함. 수정은 벤더마다 따로 제공 |
| Microsoft Edge | 확인 시점에 Microsoft의 보안 릴리스 노트에는 이 CVE를 포함하는 버전이 올라와 있지 않아 버전 번호를 확인하지 못했습니다. 11월 9일 공지에는 Microsoft가 실제 악용을 인지하고 수정을 준비 중이라고 나와 있음(CVE 번호는 명시되지 않음) |
| 회피책 | 제시된 것 없음. 업데이트가 해결책 |
- Google은 배포에 며칠에서 몇 주가 걸린다고 밝히고 있습니다. 배포가 닿기를 기다릴 필요 없이 직접 확인할 수 있습니다.
- 데스크톱 Stable 게시물은 Android나 iOS를 다루지 않습니다. 해당 기기를 쓴다면 스토어에서 업데이트를 확인하세요.
영향 여부 확인 방법
Chrome 버전 확인
chrome://settings/help(메뉴, 도움말, Google Chrome 정보)를 여세요. 157.0.8103.50 미만이면 영향을 받습니다. 이 화면을 열면 업데이트 확인과 다운로드도 시작됩니다.
재시작이 남아 있는지 확인
업데이트가 내려받아지면 다시 시작 버튼이 나타납니다. 재시작하기 전까지는 수정이 적용되지 않습니다. 탭을 많이 연 채로 며칠씩 켜 둔 PC를 특히 살펴보세요.
다른 브라우저 확인
Edge, Opera 등 Chromium 기반 브라우저를 쓴다면 각 브라우저의 정보 화면에서 업데이트를 확인하세요. 수정 버전은 벤더마다 따로 나오며, 작성 시점에는 확인된 것이 없습니다(자산 목록 체크리스트).
오늘 해야 할 일
Chrome을 업데이트하고 재시작(최우선)
Chrome 정보 화면에서 업데이트를 받고 다시 시작을 누르세요. 열려 있는 탭과 입력 중인 양식은 먼저 저장하세요. 재시작 후 버전을 다시 확인해 157.0.8103.50 이상인지 보세요.
Edge, Opera 등 Chromium 기반 브라우저 업데이트
각 브라우저의 업데이트를 확인해 최신 버전을 적용하세요. 아직 수정이 없는 동안에는 신뢰할 수 없는 사이트를 피하고 불필요한 확장 프로그램을 제거해 노출을 줄이라는 것이 본 사이트의 독자적인 제안입니다. 업데이트를 대신하는 것은 아닙니다.
(관리자) 조직 내 버전 목록 확인
관리 콘솔이나 자산 도구로 Chrome이 157.0.8103.50 미만인 기기를 찾으세요. 원격 근무자와 재시작이 드문 PC가 뒤처지기 쉽습니다.
(관리자) 업데이트와 재시작 강제
업데이트를 막거나 버전을 고정하는 정책이 없는지 확인해 있다면 해제하세요. Chrome에는 기한을 두고 설정할 수 있는 재시작 알림 정책(RelaunchNotification 등)이 있습니다. KEV 기한은 11월 24일입니다. 절차는 취약점 대응 플레이북에 정리되어 있습니다.
이후 이상한 동작이 없는지 확인
업데이트 전 기간에 대해 모르는 확장 프로그램, 바뀐 홈페이지나 검색 엔진, 저장된 비밀번호에 대한 이상한 접근이 없는지 확인하세요. 발견되면 비밀번호 교체와 기기 격리를 검토하세요.
악용 상황
- Google의 릴리스 노트는 CVE-2026-125350의 악용 코드가 실제로 존재한다는 것을 알고 있다고 밝혔습니다.
- CISA가 2026년 11월 10일 KEV에 추가했으며 기한은 11월 24일입니다(KEV 버전 2026.11.10). 랜섬웨어 사용 여부는 Unknown, 포렌식 분류는 No로 기재되어 있습니다.
- CVE 레코드에 CISA의 평가가 실려 있습니다(악용: active, 자동화 불가, 기술적 영향: total).
- 규모, 수법, 공격 주체에 대한 공개 정보는 확인하지 못했습니다. 올해 실제 악용된 Chrome 결함이 이것으로 몇 번째인지는 Google의 노트에 나와 있지 않고 본 사이트도 검증하지 않았으므로, 여기서는 주장하지 않습니다.
본 사이트의 견해: 업데이트했는지가 아니라 재시작했는지를 확인한다
브라우저는 업데이트가 내려받아진 뒤에도 재시작하기 전까지 이전 프로세스를 계속 실행합니다. 관리 대상 기기에서는 업데이트 배포와 사용자의 재시작이 따로 추적됩니다. "지금 실행 중인 버전이 157.0.8103.50 이상인가"를 기준으로 측정하면 누락이 줄어듭니다(CVSS, EPSS, KEV로 우선순위 정하기).
출처
- Google — Stable Channel Update for Desktop(Chrome Releases, 2026년 11월 9일. 수정 버전과 실제 악용 인지 발표)
- CVE.org — CVE-2026-125350(2026년 11월 10일 공개. CISA의 추가 포함)
- NVD — CVE-2026-125350
- CISA KEV — Known Exploited Vulnerabilities Catalog(11월 10일 추가, 기한 11월 24일)
- Microsoft — Microsoft Edge Security Release Notes(Edge 수정 여부 확인에 사용)
최종 확인: 2026년 11월 11일.
이어서 읽기
- 실천: 취약점 대응 플레이북 / 자산 목록 체크리스트
- 판단: CVSS, EPSS, KEV로 우선순위 정하기
- 용어: CVE란? / CVSS란?