- 구글 크롬, MS 엣지, 네이버 웨일 등 전 세계 모든 Chromium 계열 브라우저에서 샌드박스를 우회하는 RCE(원격 코드 실행) 취약점이 발견되었습니다.
- 공격자가 특수 제작한 웹페이지 접속만으로도 기기 권한 탈취가 가능한 ‘실제 악용(In the Wild)’ 상태의 제로데이 공격입니다.
- 사용 중인 모든 Chromium 브라우저의 긴급 패치 여부를 확인하고 즉시 최신 버전으로 업데이트해야 합니다.
1. 전 세계 브라우저 비상: 샌드박스 우회 RCE 취약점의 실체
최근 해커뉴스(HackerNews)와 글로벌 보안 커뮤니티를 발칵 뒤집어 놓은 심각한 보안 이슈가 터졌습니다. 바로 전 세계 웹 브라우저 시장의 70% 이상을 차지하는 Chromium(크로미움) 엔진 전체 버전에서 샌드박스 격리를 완전히 우회하여 시스템 권한을 장악할 수 있는 원격 코드 실행(Remote Code Execution, RCE) 취약점이 발견된 것입니다.
특히 이번 취약점은 개념 증명(PoC) 수준에 그치지 않고, 이미 해커들에 의해 실제 공격에 악용되고 있는 ‘Actively Exploited’ 제로데이로 분류되어 미국 CISA(사이버보안 및 인프라 보안국) 및 구글 보안팀이 초비상 상태에 돌입했습니다.
2. 왜 이번 크로미움 취약점이 특히 위험한가?
현대 웹 브라우저는 악성 스크립트가 실행되더라도 운영체제(OS) 본체에 침투하지 못하도록 강력한 ‘샌드박스(Sandbox)’ 격리 기술을 기본 탑재하고 있습니다. 렌더러 프로세스에서 오류가 발생하더라도 샌드박스 안에서 차단되는 구조입니다.
하지만 이번에 보고된 제로데이는 V8 자바스크립트 엔진의 메모리 오염 취약점과 샌드박스 탈출(Sandbox Escape) 기법이 결합되어, 피해자가 악성 링크를 단 한 번 클릭하는 것만으로 공격자가 OS 권한으로 임의의 명령어를 실행할 수 있게 만듭니다.
| 구분 | 일반적인 브라우저 취약점 | 이번 샌드박스 RCE 제로데이 |
|---|---|---|
| 영향 범위 | 특정 OS 또는 특정 브라우저 빌드 | Chrome, Edge, Whale, Brave 등 전 버전 |
| 공격 방식 | 브라우저 크래시 유발, 캐시 탈취 | 샌드박스 돌파 후 호스트 OS 전체 권한 장악 |
| 위험 등급 | Medium ~ High | Critical (CVSS 9.8+ 초고위험) |
3. 영향받는 브라우저 목록
Chromium 오픈소스 엔진을 기반으로 제작된 거의 모든 브라우저가 영향권에 들어있습니다. 아래 브라우저를 사용 중이라면 지체 없이 점검해야 합니다.
- Google Chrome (구글 크롬): Windows, macOS, Linux 전 플랫폼
- Microsoft Edge (마이크로소프트 엣지)
- Naver Whale (네이버 웨일)
- Brave Browser (브레이브)
- Opera / Vivaldi
- 기타 일렉트론(Electron) 기반 데스크톱 앱 (Slack, Discord, VS Code 등)
공격자들은 출처가 불분명한 피싱 이메일, 악성 광고(Malvertising), SNS 링크를 통해 접속을 유도하고 있습니다. 패치가 배포 완료되기 전까지는 신뢰할 수 없는 사이트 방문을 자제하고 브라우저 재시작을 통한 업데이트 적용을 최우선으로 완료하세요.
4. 브라우저별 긴급 업데이트 및 점검 방법 (1분 컷)
각 브라우저 제조사는 현재 긴급 보안 패치를 순차적으로 릴리즈하고 있습니다. 지금 바로 아래 순서대로 업데이트 상태를 확인하세요.
- Chrome: 우측 상단 점 3개 메뉴 → [도움말] → [Chrome 정보] 클릭 시 자동 업데이트 시작 → 완료 후 ‘다시 시작’ 버튼 클릭
- Edge: 우측 상단 설정 → [도움말 및 피드백] → [Microsoft Edge 정보] 접속 후 재시작
- Whale / Brave: 설정 메뉴의 버전 정보 페이지에서 최신 빌드로 강제 새로고침
자주 묻는 질문 (FAQ)
Q1. 사파리(Safari)나 파이어폭스(Firefox) 사용자도 위험한가요?
사파리는 WebKit, 파이어폭스는 Gecko 엔진을 독자적으로 사용하므로 이번 Chromium 전용 샌드박스 RCE 취약점의 직접적인 영향을 받지 않습니다. 그러나 교차 플랫폼 공격이 지속될 수 있으므로 모든 브라우저를 최신 상태로 유지하는 것이 안전합니다.
Q2. 백신 프로그램을 켜두면 방어가 가능한가요?
일반 안티바이러스 솔루션은 제로데이 샌드박스 탈출 공격의 메모리 변조 행위를 실시간으로 100% 탐지하기 어렵습니다. 가장 확실한 방어책은 브라우저 엔진 제조사가 배포한 공식 보안 패치를 적용하는 것입니다.
Q3. 모바일(스마트폰) 브라우저도 업데이트가 필요한가요?
네, 안드로이드용 Chrome 및 Chromium 계열 브라우저 역시 동일 취약점에 노출될 가능성이 높으므로 구글 플레이스토어나 원스토어에서 브라우저 앱 업데이트를 즉시 진행하셔야 합니다.