구글 크롬, 실제 공격에 악용 중인 제로데이 취약점(CVE-2026-125350) 긴급 업데이트 권고

이미지 생성형 AI 제작

 

구글이 최근 크롬 브라우저에서 발견된 제로데이 취약점(CVE-2026-125350)에 대한 보안 업데이트를 배포했습니다.

 

이번 제로데이 취약점은 크롬이 XML 문서를 변환할 때 사용하는 XSLT 처리 라이브러리 'libxslt'에서 발생하는 '메모리 해제 후 재사용(Use-After-Free)' 결함입니다.

XSLT 변환 과정에서 패턴 매칭 결과를 저장해 두는 캐시 메모리를 관리하던 중, 같은 처리가 다시 호출(재진입)되면 이미 해제된 메모리를 다시 해제하고 참조하는 데서 비롯됩니다.

 

공격자는 조작된 XML·XSLT 코드가 삽입된 웹페이지로 사용자의 접속을 유도하며, 사용자가 페이지를 열람하는 것만으로도 크롬의 보호 영역인 샌드박스(Sandbox) 내에서 공격자가 의도한 임의 코드가 실행될 수 있습니다. 현재 해당 취약점을 악용한 공격이 실제로 확인되고 있어, 사용자분들의 신속한 업데이트를 권고 드립니다.

 

 

취약점 개요

 

CVE	CVE-2026-125350
영향 컴포넌트	Google Chrome XML(XSLT) 처리 Chromium 내장 libxslt의 xsltTestCompMatchDirect() 함수(pattern.c)
취약점 유형	메모리 해제 후 재사용(Use-After-Free, CWE-416) 조작된 HTML 페이지를 통해 원격에서 샌드박스 내부 임의 코드 실행 가능
심각도	High (CVSS v3.1 8.8) AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H Chromium 보안 등급 High. CVSS 점수는 CISA-ADP 평가 기준
영향 대상	Chrome 157.0.8103.50 미만(Windows·Mac·Linux·Android) Chrome Extended Stable 156.0.8078.96 미만(Windows·Mac) Microsoft Edge, Opera 등 Chromium 기반 브라우저
실제 악용	Google이 실제 공격에 악용되는 익스플로잇의 존재를 확인 (2026. 11. 09) CISA KEV 등재 (2026. 11. 10) 공격 주체, 공격 대상, 세부 공격 방식은 공개되지 않음
조치	Chrome 최신 버전으로 업데이트 후 브라우저 재실행

 

 

취약점 발생 원인

 

XSLT는 XML 문서를 다른 형태(HTML 등)로 변환하는 스타일시트 언어로, Chrome은 이를 처리하기 위해 오픈소스 라이브러리인 libxslt를 내장하고 있습니다. 웹페이지는 XML 문서의 <?xml-stylesheet?> 처리 지시문이나 JavaScript의 XSLTProcessor API로 이 기능을 사용할 수 있습니다.

문제는 libxslt의 xsltTestCompMatchDirect() 함수가 변환 컨텍스트의 캐시 슬롯에서 노드 집합(node-set) 포인터를 미리 읽어 둔 상태로 XPath 평가(xmlXPathEval())를 수행하고, 평가가 끝나면 그 포인터를 해제한다는 점입니다. 평가 도중 같은 함수가 같은 캐시 슬롯으로 다시 진입(재진입)하면 안쪽 호출이 캐시 객체를 해제하고 새 객체로 바꿔 놓는데, 바깥쪽 호출은 이를 모른 채 이미 해제된 기존 포인터를 다시 해제하게 되어 메모리 손상이 발생합니다.

 

단계	동작
① 악성 페이지 접속	사용자가 공격자가 조작한 XML·XSLT를 포함한 웹페이지에 접속 (<?xml-stylesheet?> 또는 XSLTProcessor API로 XSLT 변환 실행)
② 캐시 포인터 확보	xsltTestCompMatchDirect()가 캐시 슬롯의 노드 집합 포인터를 읽은 뒤 xmlXPathEval() 호출
③ 재진입	XPath 평가 중 지연 평가되는 전역 변수(xsl:number 실행 등)로 인해 같은 함수가 같은 캐시 슬롯에 재진입 → 캐시 객체 해제 후 교체
④ 해제된 메모리 사용	바깥쪽 호출이 이미 해제된 기존 포인터를 다시 해제 → 이중 해제(Double Free)·Use-After-Free로 메모리 손상
⑤ 코드 실행	공격자가 메모리 손상을 이용해 렌더러 샌드박스 내부에서 임의 코드 실행

[표 1] CVE-2026-125350 발생 흐름

 

Chromium의 수정 커밋(61cab3f77203, 2026. 11. 07.)은 XPath 평가가 끝난 뒤 캐시 슬롯을 다시 읽어 현재 객체를 해제하도록 변경했으며, 같은 수정으로 XML 컴포넌트의 또 다른 Use-After-Free 취약점(CVE-2026-125346)도 함께 해결되었습니다.

이 취약점만으로는 코드가 브라우저 렌더러 샌드박스 안에서 실행되므로, 시스템 전체를 장악하려면 별도의 샌드박스 탈출 취약점이 필요합니다. 다만 Google은 실제 공격에 샌드박스 탈출 취약점이 함께 사용되었는지 밝히지 않았습니다.

 

 

영향 받는 버전 및 패치 버전

 

■ Google Chrome

 

채널 / 플랫폼	영향 받는 버전	패치 버전
Stable (Windows·Mac)	157.0.8103.50 미만	157.0.8103.50/.51 이상
Stable (Linux)	157.0.8103.50 미만	157.0.8103.50 이상
Android	157.0.8103.50 미만	157.0.8103.50 이상
Extended Stable (Windows·Mac)	156.0.8078.96 미만	156.0.8078.96 이상

[표 2] Google Chrome 영향 받는 버전 및 패치 버전

 

■ 주요 Chromium 기반 브라우저 (2026. 11. 11. 기준)

 

브라우저	패치 현황
Microsoft Edge	미패치(작업 중) Microsoft는 11월 9일 보안 릴리스 노트에서 실제 악용 사실을 인지하고 보안 업데이트를 준비 중이라고 밝힘
Brave	Brave Desktop 1.99.56 (2026. 11. 10., Chromium 157.0.8103.50 기반)에서 수정
Opera	Opera 140 Stable (2026. 11. 10.)에서 수정
Vivaldi	Desktop 8.3 Minor update (2) (2026. 11. 10.)에서 수정

[표 3] 주요 Chromium 기반 브라우저 패치 현황

 

 

조치 방법

 

① 사용 중인 브라우저 버전 확인

 

• Chrome: 주소창에 chrome://settings/help 입력 (설정 > Chrome 정보)

• Edge: 주소창에 edge://settings/help 입력 (설정 > Microsoft Edge 정보)

• Linux 터미널에서 확인

google-chrome --version

확인한 버전을 [표 2]의 패치 버전과 비교합니다. Chrome은 업데이트를 내려받은 뒤 브라우저를 다시 실행해야 새 버전이 적용되므로, 업데이트 후에도 재실행 전이라면 취약한 버전이 계속 동작합니다.

 

② 보안 업데이트 적용

 

사용 환경	업데이트 방법
Windows / Mac	chrome://settings/help 접속 시 자동으로 업데이트 확인 및 다운로드 → [다시 실행] 클릭
Linux	Debian·Ubuntu: sudo apt update && sudo apt install --only-upgrade google-chrome-stable RHEL·Fedora: sudo dnf upgrade google-chrome-stable 업데이트 후 브라우저 재실행
Android	Google Play 스토어에서 Chrome 업데이트 (11월 9일부터 순차 배포되므로, 업데이트가 보이지 않으면 Play 스토어에서 다시 확인)
Chromium 기반 브라우저	Edge 등은 각 제조사의 보안 업데이트 배포 시 즉시 적용 ([표 3] 참고)

 

 

참고 용어

 

용어	설명
Use-After-Free (UAF)	이미 해제된 메모리를 프로그램이 계속 참조·사용하면서 발생하는 메모리 손상 취약점
이중 해제 (Double Free)	이미 해제된 메모리를 다시 해제하는 오류. 메모리 관리 구조를 손상시켜 임의 코드 실행으로 이어질 수 있음
XSLT	Extensible Stylesheet Language Transformations. XML 문서를 HTML 등 다른 형식으로 변환하는 스타일시트 언어
libxslt	XSLT 처리를 위한 오픈소스 C 라이브러리. Chrome은 이를 내장(third_party)해 사용
렌더러 샌드박스	웹페이지를 처리하는 Chrome 렌더러 프로세스를 운영체제와 격리하는 보안 장치. 탈출하려면 별도의 취약점이 필요
Extended Stable 채널	기업 등을 위해 주요 버전 업데이트 주기를 늘린 Chrome 배포 채널. 보안 수정은 별도로 제공
CISA KEV	Known Exploited Vulnerabilities. 미국 CISA가 실제 악용이 확인된 취약점을 관리하는 목록

 

 

참고 :

https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_018223192.html

https://chromereleases.googleblog.com/2026/11/chrome-for-android-update_01533302390.html

https://nvd.nist.gov/vuln/detail/CVE-2026-125350

https://www.cve.org/CVERecord?id=CVE-2026-125350
https://www.cisa.gov/known-exploited-vulnerabilities-catalog