무엇이 배포됐나
Google은 10월 6일 Stable 채널 업데이트 공지에서 데스크톱용 Chrome을 155 버전으로 올렸습니다. 새 버전은 한 번에 배포되지 않고 수일에서 수주에 걸쳐 단계적으로 배포됩니다. 자동 배포 순서를 기다리면 일부 단말은 그만큼 늦게 수정을 받습니다.
| 항목 | 내용 |
|---|---|
| 배포일 (미국 현지) | 2026년 10월 6일 |
| Stable 버전 | Windows · Mac 155.0.8059.39/.40, Linux 155.0.8059.39 |
| 배포 방식 | 수일에서 수주에 걸친 단계적 배포 |
| 보안 수정 | 247건 (Critical 4 · High 53 · Medium 122 · Low 68) |
| 실제 악용 언급 | 없음 (공지 원문 기준) |
| 세부 정보 공개 | 다수 사용자 업데이트 전까지 제한될 수 있음. 다른 프로젝트도 쓰는 외부 라이브러리의 결함은 그 뒤에도 제한될 수 있음 |
Critical 4건 - 모두 Use after free
| CVE | 유형 | 컴포넌트 | 보고일 |
|---|---|---|---|
| CVE-2026-106382 | Use after free | Chromecast | 2026-07-15 |
| CVE-2026-106197 | Use after free | Browser | 2026-09-11 |
| CVE-2026-106358 | Use after free | Navigation | 2026-09-28 |
| CVE-2026-106347 | Use after free | Track | 2026-09-30 |
Use after free는 이미 해제된 메모리 영역을 프로그램이 계속 참조하는 결함입니다. 공격자가 해제된 자리에 원하는 데이터를 채워 넣을 수 있으면 프로그램 흐름을 바꿔 코드 실행으로 이어질 수 있습니다.
등급의 의미도 중요합니다. Chromium 심각도 기준에서 Critical은 웹 콘텐츠로 건드릴 수 있는 브라우저 프로세스의 메모리 손상처럼, 샌드박스 밖에서 사용자 권한으로 파일이나 네트워크에 접근할 수 있게 되는 결함에 붙습니다. 렌더러 샌드박스 안에서만 코드를 실행할 수 있는 결함은 보통 High로 분류됩니다. 4건의 세부 공격 조건은 아직 공개되지 않았습니다.
보고자 표기도 눈여겨볼 만합니다. Critical 4건 중 2건은 AI 모델의 도움을 받은 분석으로 보고됐고, High 등급에도 AI 모델이나 AI 보안 도구의 도움을 받아 보고된 항목이 여러 건 있습니다. 취약점을 찾는 속도가 빨라질수록, 수정을 단말까지 얼마나 빨리 반영하느냐가 기업 보안의 변수가 됩니다.
High 53건 - 데이터를 해석하는 계층에 집중
| 컴포넌트 | 건수 | 주요 유형 |
|---|---|---|
| ANGLE (그래픽 API 변환 계층) | 7 | 초기화되지 않은 자원 5, Type confusion 1, Use after free 1 |
| Media | 5 | Use after free 4, 초기화되지 않은 자원 1 |
| V8 (JavaScript 엔진) | 3 | Race condition, Type confusion, Use after free |
| 2 | Use after free | |
| WebRTC | 2 | Use after free |
| Dawn · Tint (WebGPU 구현) | 2 | 초기화되지 않은 자원, Use after free |
| Skia (2D 그래픽) | 1 | 초기화되지 않은 자원 |
| SiteIsolation | 1 | 잘못된 권한 부여 |
| 그 밖의 컴포넌트 | 30 | 공지 원문 참조 |
위 표의 23건 가운데 22건이 그래픽 · 미디어 · PDF · 스크립트처럼 외부에서 받은 데이터를 해석하는 계층에 있습니다. 이런 계층의 결함은 사용자가 웹 페이지를 열거나 동영상 · PDF를 보는 것만으로 촉발될 수 있으므로, 업무 사이트만 쓰는 사용자도 업데이트 대상에서 빠지지 않습니다.
기업이 지금 확인할 것
| 점검 항목 | 기준 | 방법 |
|---|---|---|
| Chrome 버전 | 155.0.8059.39 이상 (Windows · Mac 은 .40 포함) | 자산관리 도구 또는 chrome://version |
| 재시작 미완료 단말 | 업데이트 후 재시작까지 완료 | RelaunchNotification · RelaunchNotificationPeriod 정책으로 재시작 기한 지정 |
| 단계적 배포 대기 | 자동 배포 순서를 기다리지 않음 | 기업 배포 도구로 155 설치본을 직접 배포 |
| 다른 Chromium 기반 브라우저 | 제조사의 155 반영 빌드 | 제조사 보안 공지와 버전 정보 확인 |
| Chromium 내장 업무 앱 | Electron 등으로 만든 업무 앱의 Chromium 버전 | 공급사 업데이트 일정 확인 |
세부 정보가 공개되지 않은 상태에서는 특정 기능을 끄는 임시 완화가 실제로 효과가 있는지 확인할 수 없습니다. 확정 조치는 업데이트입니다.
브라우젠의 대응 원칙
브라우젠은 Chromium 기반 업무용 브라우저입니다. Chrome 보안 업데이트가 나오면 다음 원칙으로 대응합니다.
| 단계 | 내용 |
|---|---|
| 확인 | Google 보안 공지를 매일 확인하고, 수정 항목별로 브라우젠 반영 여부를 확인합니다 |
| 반영 | 반영이 필요한 수정은 반영 빌드를 준비해 고객사 관리자에게 안내합니다 |
| 공개 | 반영 빌드 배포 전에는 세부 영향 정보를 공개하지 않습니다 |
브라우저 엔진의 보안 수정을 얼마나 빨리 반영하는지는 기업용 브라우저를 고를 때 기능 목록만큼 중요한 기준입니다. 도입을 검토할 때는 공급사에 Chromium 보안 수정 반영 기준과 반영 이력을 요구하십시오. 기업용 브라우저의 기본 개념은 보안 브라우저(SEB)란 무엇인가에서 정리했습니다.
