구글이 9월 3일 크롬 152.0.7977.82를 내면서 이 결함(CVE-2026-85046)을 노린 공격이 실제로 있다고 밝혔고, 미국 사이버보안청(CISA)은 하루 뒤 악용 확인 목록에 올려 9월 18일까지 조치하라고 정했어요. 데스크톱 크롬은 알아서 업데이트되지만 에이전트가 웹페이지를 열 때 쓰는 퍼페티어는 지금도 152.0.7977.75를 내려받고, .82로 올리는 변경 요청은 9월 4일에 올라온 뒤 아직 반영되지 않았어요. 같은 용도인 플레이라이트는 9월 4일 크로미엄 154 개발 계열로 올려 이 수정이 들어가 있고, 일렉트론은 43·44 브랜치에 9월 3~4일 넣었으며 VS 코드가 지정한 42 브랜치는 문제가 된 최적화가 생기기 전 V8이라 해당하지 않아요.
용어 풀이
- CVE
- 공개된 소프트웨어 취약점마다 붙는 국제 공통 식별 번호
- V8
- 크롬과 노드가 자바스크립트를 실행할 때 쓰는 구글의 엔진
- CISA
- 미국 사이버보안·인프라보안청. 실제 공격에 쓰인 취약점 목록을 관리한다
- 샌드박스
- 프로그램이 시스템의 나머지를 건드리지 못하게 가둬 두는 격리 구역
운영자 인사이트
브라우저를 여는 에이전트를 돌린다면, 데스크톱 크롬 업데이트와 별개로 그 도구가 내려받아 둔 크롬 판본을 직접 확인하세요. 이 결함은 샌드박스 안에서 코드를 실행하는 것이라 브라우저만 쓸 때는 별도 탈출 취약점과 엮여야 하지만, 퍼페티어 문제 해결 문서가 여러 환경에서 안내하는 `--no-sandbox` 로 띄우면 그 전제가 사라져요.
여러 관점으로 보기
- 구글 공식 공지 구글이 이 결함을 노린 공격이 실제로 있다고 직접 적었고 152.0.7977.82에서 막았어요. 신고자에게 준 포상금은 1,000달러예요. Chrome Releases
- 미국 정부 등재 내용 미국 취약점 데이터베이스는 이 결함을 '샌드박스 안에서' 코드를 실행하는 것으로 적었고 점수는 8.8이에요. 사이버보안청은 9월 4일 악용 확인 목록에 올리며 9월 18일을 기한으로 정했어요. NVD
- 에이전트 브라우저 쪽 노출 퍼페티어가 내려받는 크롬을 152.0.7977.82로 올리는 변경 요청은 9월 4일에 올라와 아직 반영을 기다리고 있어요. GitHub
- 일렉트론 반영 범위 일렉트론은 9월 3~4일 44 브랜치에 이 수정을 넣었고 43 브랜치에도 같은 내용을 넣었어요. VS 코드가 지정한 42 브랜치에는 없는데, 그 V8에는 문제가 된 최적화 자체가 아직 없기 때문이에요. GitHub
- 해커뉴스 반응 댓글에서는 이게 샌드박스 탈출이 아니라 샌드박스 안에서의 실행이라 별도 탈출 취약점과 엮여야 한다는 지적이 이어졌고, 제목의 '모든 크로미엄 판본'도 사실과 다르다는 반론이 붙었어요. Hacker News