리투인소프트웨어
← 보안 이슈 목록

보안 이슈

크롬 제로데이 실제 악용, 크롬 157 업데이트·재시작 확인법

최종 수정일: 2026년 11월 10일

핵심 요약

무슨 일
구글이 실제 공격에 쓰인 크롬 취약점 CVE-2026-125350을 고친 업데이트를 2026년 11월 10일(한국 시간) 배포했습니다.
영향 대상
패치 버전(Windows·Mac 157.0.8103.50/.51, Linux 157.0.8103.50, Extended Stable(Windows·Mac) 156.0.8078.96)보다 낮은 데스크톱 크롬 사용자입니다.
지금 할 일
'Chrome 정보' 화면에서 버전을 확인하고 업데이트한 뒤, 브라우저를 반드시 다시 시작하세요.

크롬 제로데이(패치가 나오기 전에 이미 공격에 쓰인 취약점) CVE-2026-125350이 실제로 악용되고 있다고 구글이 공식 공지에서 밝혔습니다. Chrome 157 업데이트가 이 취약점을 고쳤습니다. 구글이 안내한 대응은 업데이트뿐입니다. 내려받기로 끝내지 말고 다시 시작한 뒤 버전까지 확인해야 합니다.

무슨 일이 있었나

구글은 2026년 11월 9일 낮 12시 52분(미국 태평양 표준시), 한국 시간 11월 10일 오전 5시 52분에 크롬 데스크톱 안정 채널(일반 사용자용 정식판) 업데이트를 공지했습니다. 공지에는 "CVE-2026-125350 익스플로잇(취약점 공격 코드)이 실제 환경에 존재한다는 것을 알고 있다"는 문구가 들어 있습니다.

CVE-2026-125350은 XML 처리 부분의 use-after-free(이미 해제한 메모리를 다시 사용하는 오류) 취약점이며, 구글이 매긴 등급은 High입니다. 익명 연구자가 11월 6일 제보했고 사흘 만에 패치가 나왔습니다. 이번 업데이트에는 이 취약점을 포함해 보안 수정 9건(High 7건, Medium 2건)이 담겼습니다.

SecurityWeek에 따르면 공격자·표적·유포 방식은 공개되지 않았습니다. 구글은 대부분의 사용자가 업데이트를 마칠 때까지 버그 세부 정보 공개를 제한할 수 있다고 공지했습니다.

크롬 제로데이, 왜 주목해야 하나

SecurityWeek 집계로 이번 건은 크롬에서 2026년 들어 여덟 번째로 나온 제로데이입니다. 브라우저 업데이트를 가끔 하는 일이 아니라 상시 점검 항목으로 다뤄야 하는 이유입니다.

구분 내용
영향 제품 구글 크롬 데스크톱(Windows·Mac·Linux) 패치 이전 버전
취약점 CVE-2026-125350, XML use-after-free
심각도 구글 등급 High (CVSS 점수는 확인되지 않음)
패치 버전 Windows·Mac 157.0.8103.50/.51, Linux 157.0.8103.50, Extended Stable(주요 버전 업데이트 주기가 더 긴 확장 안정 채널, Windows·Mac) 156.0.8078.96
공격 정보 실제 악용 확인, 공격자·유포 방식 미공개

현실적인 위험은 '업데이트 공백'입니다. 구글 공지에 따르면 이번 업데이트는 며칠에서 몇 주에 걸쳐 순차 배포됩니다. 자동 업데이트만 기다리면 패치되지 않은 PC가 오래 남습니다. 11월 10일 오후 확인 기준으로 한국인터넷진흥원(KISA) 보호나라에는 이 취약점 공지가 아직 없었으므로, 국내 공지를 기다리기보다 구글 공지를 기준으로 움직이는 편이 낫습니다.

누가 영향을 받나

패치 버전보다 낮은 데스크톱 크롬을 쓰는 모든 사용자가 대상입니다. 안드로이드용 크롬 157.0.8103.50도 같은 날 배포됐습니다. 구글은 안드로이드판이 같은 버전의 데스크톱판과 같은 보안 수정을 담는다고 안내했지만, 이 취약점을 따로 적지는 않았습니다.

엣지·웨일 등 크로미움(크롬의 바탕이 되는 공개 브라우저 엔진) 기반 브라우저도 점검이 필요합니다. 마이크로소프트는 11월 9일 자 엣지 보안 공지에서 최근 실제 환경의 익스플로잇을 인지했고 보안 수정을 준비 중이라고 밝혔지만, 해당 CVE 번호는 적지 않았습니다. 11월 10일 오후 확인 기준으로 엣지 수정판과 웨일의 패치 소식은 아직 없습니다.

개인 사용자: 크롬 버전 확인과 업데이트 방법

  1. 크롬 오른쪽 위 메뉴(점 세 개) > 도움말 > Chrome 정보를 엽니다.
  2. 이 화면을 열면 업데이트 확인과 내려받기가 진행됩니다.
  3. '다시 시작' 버튼을 눌러 브라우저를 재시작합니다. 작성 중인 글은 먼저 저장하세요.
  4. 다시 Chrome 정보를 열어 버전이 157.0.8103.50 이상인지 확인합니다(회사에서 Extended Stable 채널을 쓰면 156.0.8078.96 이상).

Linux는 배포판의 패키지 관리자로 업데이트합니다. 휴대폰 크롬도 앱 마켓에서 157.0.8103.50 이상으로 업데이트해 두세요. 구글 플레이에는 며칠에 걸쳐 순차 제공됩니다.

IT 담당자: 회사 PC 크롬 제로데이 점검

  1. 오늘: 관리 중인 PC 전체의 크롬 버전을 수집해 패치 버전(Extended Stable은 156.0.8078.96) 이상인지 점검합니다. 직원들에게는 "Chrome 정보 확인 후 다시 시작"을 공지합니다.
  2. 이번 주: 엣지·웨일 등 다른 크로미움 기반 브라우저의 설치 현황을 파악하고, 각 제조사의 보안 공지를 확인해 최신 버전으로 맞춥니다. 엣지는 마이크로소프트 보안 릴리스 노트에 수정판이 올라오는 대로 바로 배포합니다.
  3. 중장기: 브라우저 버전 점검과 재시작 강제 시점을 정기 패치 관리 절차에 넣습니다.

하지 말아야 할 것: 자동 업데이트가 켜져 있다고 점검을 미루지 마세요. '크롬 긴급 업데이트'를 내세운 출처 불명의 링크나 설치 파일은 받지 말고, 업데이트는 Chrome 정보 화면에서만 하세요.

자주 묻는 질문

Q. 크롬 업데이트를 했는데 버전이 그대로예요.

대부분 다시 시작을 하지 않은 경우입니다. Chrome 정보 화면에서 '다시 시작'을 누른 뒤 버전을 다시 확인하세요. 회사 PC에서 계속 바뀌지 않으면 IT 담당자에게 알리세요.

Q. 엣지나 웨일도 업데이트해야 하나요?

엣지는 마이크로소프트가 11월 9일 최근 실제 환경의 익스플로잇을 인지하고 보안 수정을 준비 중이라고 공지했지만, 어떤 CVE인지는 밝히지 않았고 11월 10일 오후 기준 수정판도 나오지 않았습니다. 웨일의 패치 여부는 확인되지 않았습니다. 지금 최신 버전으로 맞춰 두고, 수정판이 나오면 바로 업데이트할 수 있게 제조사 보안 공지를 확인하세요.

Q. CVE-2026-125350 크롬 취약점, 어떤 피해가 생기나요?

구글은 공격 방식과 피해 범위를 공개하지 않았습니다. 확인된 사실은 실제 악용이 있었다는 것과 Chrome 157(Extended Stable은 156.0.8078.96)에서 고쳐졌다는 것뿐이므로, 업데이트와 재시작이 가장 확실한 대응입니다.

마치며

이번 크롬 제로데이는 패치가 이미 나와 있어, 업데이트하고 다시 시작하면 대응이 끝납니다. 개인은 내 PC의 버전을, IT 담당자는 회사 PC 전체와 다른 크로미움 기반 브라우저까지 오늘 확인해 두세요.

브라우저 점검과 별개로, 기업 메일로 들어오는 피싱·사칭·송금 사기 메일 대응이 고민이라면 메일의 행간을 읽고 판단하는 메일 보안 인공지능 MAIL PRISM AI를 살펴보세요.

다른 보안 이슈는 리투인 보안센터에서 확인하실 수 있습니다.

참고 출처

링크도 첨부도 없는 사기 메일, 막을 근거가 없을 때

MAIL PRISM AI 는 글 뒤에 숨은 의도, 행간을 읽고 판단합니다.

MAIL PRISM AI 보기