Google은 2026년 11월 11일(미국 시간) Chrome 웹 브라우저의 공개 채널을 버전 157.0.8103.78/.79(Windows 및 Mac) 및 157.0.8103.78(Linux)로 업데이트했습니다. 업데이트에는 83개의 보안 수정 사항이 포함되어 있으며, 그 중 가장 높은 심각도 수준인 긴급으로 분류된 5개의 취약점이 포함되어 있습니다. 회사는 공식 ‘Chrome Releases’ 블로그를 통해 자세한 내용을 공개했습니다. 업데이트된 버전은 앞으로 며칠에서 몇 주에 걸쳐 점진적으로 출시될 예정입니다.
5개의 긴급 등급 결함은 모두 이미 해제된 메모리가 여전히 참조되는 “해제 후 사용”이라는 유형입니다. 영향을 받는 구성 요소에는 ServiceWorker(CVE-2026-126885), CSS(CVE-2026-126895), 레이아웃(CVE-2026-126879), Skia(CVE-2026-126846) 및 접근성(CVE-2026-126911)이 포함됩니다. 나머지 78개는 두 번째로 높은 등급인 ‘높음’ 등급을 받았습니다. 공식 블로그에는 JavaScript 엔진 V8의 “Type Confusion” 및 렌더링 라이브러리 Skia의 “Buffer Overflow”(버퍼 경계를 넘어서 쓰기)와 같은 항목도 나열되어 있습니다.
블로그에서 구글은 대다수의 사용자가 수정된 버전을 받을 때까지 결함에 대한 자세한 정보에 대한 접근이 제한될 수 있다고 언급했습니다. 타사 라이브러리에 유사한 문제가 있고 다른 프로젝트가 아직 수정을 완료하지 않은 경우 이러한 제한을 유지할 것이라고 말했습니다. 또한 취약점을 보고하는 데 도움을 준 연구원들에게도 감사를 표했습니다.
Chrome 157에 대한 이번 주 두 번째 업데이트입니다. Google은 11월 9일 XML 처리와 관련된 취약점에 대한 익스플로잇 코드 “CVE-2026-125350″이 널리 유포되고 있음을 공개했으며, 이를 포함해 9가지 취약점을 수정한 버전 157.0.8103.50/.51을 출시했습니다. 더 거슬러 올라가면 11월 3일에 213개의 수정 사항이 포함된 Chrome 157의 첫 번째 릴리스가 게시되었습니다. 그 결과 일주일 남짓 만에 세 번의 업데이트가 이루어졌습니다. 현재 83개 배치에 대해 공식 블로그에서는 어떤 악용도 언급하지 않았습니다.
| 출시일(미국 시간) | 버전 | 수정 | 주요 내용 |
|---|---|---|---|
| 11월 3일 | Chrome 157 최초 출시 | 213 | Chrome 157의 첫 번째 릴리스 |
| 11월 9일 | 157.0.8103.50/.51 | 9 | 해결된 XML 처리 취약점 CVE-2026-125350; 익스플로잇 코드 확인됨 |
| 11월 11일 | 157.0.8103.78/.79 | 83 | 5개의 크리티컬을 포함합니다. 착취에 대한 언급은 없습니다 |
참고: Google의 공식 ‘Chrome 릴리스’ 블로그에 공개된 내용을 기반으로 합니다.
이전에 패치된 CVE-2026-125350의 경우 미국 사이버보안 및 인프라 보안국(CISA)은 11월 10일 이를 실제에서 악용된 것으로 확인된 취약점 목록에 추가했습니다. 이 문제는 11월 6일 익명의 연구원에 의해 보고되었습니다. 구체적인 공격 방법과 피해 규모는 공개되지 않았지만 공격자는 사용자가 특수 제작된 웹 페이지를 열도록 유도하여 브라우저 내부의 샌드박스 영역에서 악성 프로그램을 실행할 가능성이 있습니다.
모바일에서는 같은 날 Chrome 157(157.0.8103.78)의 Android 버전이 Google Play에 출시되기 시작했습니다. Google에 따르면 Android 버전에 포함된 보안 수정 사항은 데스크톱 버전의 보안 수정 사항과 동일합니다.
Chrome은 일반적으로 업데이트를 자동으로 다운로드하지만 브라우저를 다시 시작하지 않으면 수정사항이 적용되지 않을 수 있습니다. 사용자는 화면 오른쪽 상단에 있는 메뉴에서 “도움말”을 열고 “Google Chrome 정보”를 열고 버전을 확인한 후 업데이트가 완료되면 다시 시작하는 것이 좋습니다. Linux에서는 업데이트가 패키지 관리자를 통해 제공됩니다. 배포는 단계적으로 진행되기 때문에 아직 수정본을 받지 못한 사용자들은 잠시 후 다시 확인하시기 바랍니다.
일련의 업데이트는 브라우저가 회사와 개인의 일상 업무의 기반이 되는 상황에서 패치 적용이 지연되면 사용자가 직접 공격 대상이 될 수 있다는 점을 다시 한 번 강조합니다. 특히 Use After Free는 제작된 페이지를 사용자에게 보여주기만 하면 공격이 성공할 수 있는 카테고리로 알려져 있으며, 과거에는 표적 공격에 포함되기도 했습니다. 제로데이 패치 직후 다시 대규모 수정이 필요했다는 점은 크롬 157 라인의 코드 변경에 수반되는 결함이 단기간에 집중적으로 표면화될 수 있음을 시사한다. 관리자에게는 자산 관리 도구를 통해 각 장치의 버전을 추적하고 사용자에게 다시 시작하라는 메시지를 표시하는 작업이 필요한 순간입니다.
