크롬 하나가 뚫리면 웹 전체가 흔들린다: CVE-2026-85046이 던진 경고

크롬의 보안 문제가 더는 크롬 하나로 끝나지 않는 시대입니다. 엣지와 브레이브, 오페라처럼 Chromium을 기반으로 만든 브라우저가 늘면서 하나의 엔진 취약점이 웹 생태계 전체로 퍼질 수 있기 때문입니다.

다만 먼저 짚고 넘어갈 부분이 있습니다. 제공된 최근 30일 조사에서는 CVE-2026-85046이 실제로 악용됐다는 사실을 뒷받침할 공식 자료나 확인된 커뮤니티 게시물을 찾지 못했습니다. 따라서 구체적인 공격 사례를 단정하기보다는 이 취약점이 드러낸 브라우저 단일화 문제에 초점을 맞춰보겠습니다.

샌드박스를 벗어나면 왜 위험할까요

브라우저의 샌드박스는 웹페이지를 격리된 공간에서 실행하도록 만든 안전장치입니다. 악성 사이트가 브라우저 내부에서 문제를 일으키더라도 운영체제나 다른 파일에는 쉽게 접근하지 못하게 막아줍니다.

샌드박스 탈출은 말 그대로 이 벽을 넘어서는 공격입니다. 공격자는 보통 웹 콘텐츠를 처리하는 영역의 취약점에 샌드박스 탈출 취약점을 연결합니다. 첫 번째 취약점을 이용해 브라우저 안에서 코드를 실행한 뒤, 두 번째 취약점으로 권한의 울타리를 빠져나오는 식입니다.

여기에 원격 코드 실행, 즉 RCE까지 이어지면 피해는 훨씬 커집니다. 사용자가 조작된 페이지를 방문하기만 해도 공격이 시작될 수 있기 때문입니다. 그렇다고 모든 샌드박스 취약점이 곧바로 운영체제 장악으로 이어지는 것은 아닙니다. 실제 위험도는 공격 조건과 권한, 함께 쓰인 다른 취약점에 따라 달라집니다.

크롬을 쓰지 않아도 Chromium을 쓰고 있습니다

Chromium은 구글이 주도하는 오픈소스 브라우저 프로젝트입니다. 크롬뿐 아니라 마이크로소프트 엣지, 브레이브, 오페라, 비발디 등 여러 브라우저가 이 엔진을 바탕으로 만들어졌습니다.

겉모습과 부가 기능은 제각각이지만 웹페이지를 해석하고 실행하는 핵심 부품은 상당 부분 공유합니다. Chromium의 공통 영역에서 취약점이 발견되면 여러 브랜드의 브라우저가 한꺼번에 영향을 받을 수 있다는 뜻입니다.

물론 “Chromium 취약점 하나가 모든 브라우저를 똑같이 뚫는다”고 단정할 수는 없습니다. 제품마다 사용하는 버전과 기능, 보안 설정이 다르기 때문입니다. 그래도 공통 코드가 많아질수록 잠재적인 피해 범위도 넓어진다는 구조적 문제는 분명히 존재합니다.

단일화는 편리하지만 사고의 반경도 키웁니다

브라우저 엔진이 하나로 모이면 개발자는 편해집니다. 여러 엔진의 차이에 일일이 대응할 필요가 없고, 웹 서비스의 호환성 문제도 줄어듭니다. Chromium에서 보안 패치를 한 번 만들면 여러 제품이 가져다 쓸 수 있다는 장점도 있습니다.

하지만 그만큼 위험이 한곳에 집중됩니다. 공격자는 널리 쓰이는 공통 엔진 하나를 분석하는 것만으로 여러 브라우저 사용자를 노릴 수 있습니다. 특정 제품의 시장점유율을 넘어 공통 기반 전체가 공격 대상이 되는 셈입니다.

패치가 배포되는 시점도 모두 같지는 않습니다. Chromium에서 수정을 마쳤더라도 각 브라우저 업체가 이를 가져와 테스트하고 배포하기까지 걸리는 시간은 제각각입니다. 같은 취약점에 노출됐어도 사용자가 안전해지는 시점은 브라우저마다 다를 수 있습니다.

사용자는 브랜드보다 버전을 봐야 합니다

이런 사고가 발생했을 때 “나는 크롬을 쓰지 않으니 괜찮다”라고 생각하는 것은 위험합니다. 자신이 쓰는 브라우저가 Chromium 기반인지 확인하고, 최신 버전이 실제로 설치돼 있는지도 살펴봐야 합니다.

업데이트 파일만 내려받고 브라우저를 다시 실행하지 않아 구버전이 그대로 작동하는 경우도 있습니다. 업데이트를 확인한 뒤에는 열어둔 작업을 저장하고 브라우저를 완전히 종료했다가 다시 실행하는 편이 좋습니다.

기업이라면 더 체계적으로 대응해야 합니다. 브라우저 이름만 파악할 게 아니라 설치 버전과 패치 적용 상태까지 함께 관리해야 합니다. 여러 Chromium 브라우저를 섞어 쓰고 있다면 제품별 배포 시차도 고려해야 합니다.

CVE-2026-85046이 실제로 악용됐다는 주장은 현재 제공된 자료만으로 확인하기 어렵습니다. 하지만 웹의 핵심 엔진이 하나로 수렴할수록 취약점 하나가 미치는 영향이 커진다는 경고는 여전히 유효합니다. 우리가 누리는 편리함만큼, 브라우저 생태계의 다양성에도 비용을 지불할 준비가 되어 있을까요?