[단독분석] 분석 — CVE-2026-85046

• 심각도 high · CVSS 8.8 · EPSS 미확보 · 악용난이도 moderate

• 원격 공격자는 정교하게 조작된 HTML 페이지를 통해 V8 엔진의 타입 혼동을 유발합니다.
• 이 과정에서 JavaScript 코드가 샌드박스 내부에서 임의 실행 권한을 얻으며, UI‑요청이 필요하므로 사용자가 악성 페이지에 접속해야 합니다.
• 공격 흐름은 네트워크 → HTML 전송 → V8 타입 혼동 트리거 → 샌드박스 내 임의 코드 실행 순으로 진행됩니다.

악용 가능성: CVSS 벡터 AV:N은 네트워크를 통해 원격에서 접근이 가능함을 의미하고, AC:L은 공격 복잡도가 낮아 간단히 조작된 HTML 페이지만으로 충분함을 나타냅니다. PR:N은 별도의 권한이 요구되지 않으며, UI:R은 사용자가 악성 페이지를 열어야 한다는 점을 뜻해 사회공학적 요소가 필요하지만 기술적 장벽은 매우 낮습니다. EPSS 데이터는 현재 제공되지 않고 KEV 목록에도 등재되지 않아 관측된 야생 악용 사례는 아직 보고되지 않았지만, Chromium 보안 등급이 High이고 V8 타입 혼동 취약점 자체가 심각한 영향을

• 기술적 위험: 성공 시 샌드박스 내부에서 임의 코드를 실행할 수 있어 기밀 데이터 접근(C:H), 무결성 파괴(I:H), 서비스 중단(A:H) 위험이 존재합니다.
• 비즈니스 리스크: 데이터 유출·조작으로 인한 신뢰도 손상, 규제 위반 시 벌금·법적 책임, 서비스 가용성 저하에 따른 운영 비용 증가가 예상됩니다.
• 영향 제품 및 노출 규모: 추정: Google Chrome 152.0.7977.82 이전 버전이 영향을 받으며(공식 보고에 “미상”으로 표시됨), 해당 브라우저를 사용하는 모든 엔드포인트가 잠재적 대상입니다.
• 교차검증: 다중 소스에서 일관성이 확인됐으므로(신뢰도 1.0) 정보의 신뢰도가 높습니다.

• V8 타입 혼동은 기존에 보고된 JIT‑spray, 메모리 손상 취약점과 결합될 경우 샌드박스 탈출 가능성을 높일 수 있습니다(예: CVE‑2024‑xxxx와 유사한 패턴).

• Chrome / V8 프로세스에서 비정상적인 JavaScript 엔진 오류 또는 크래시 로그가 발생하는 경우.
• 샌드박스 내 네트워크 연결 시도(예: 외부 IP로의 HTTP 요청) 및 파일 시스템 접근 시도가 감지되면 의심됩니다.

• 즉시 조치: Chrome를 152.0.7977.82 이상 버전으로 업데이트하고, 기업 정책을 통해 자동 업데이트를 활성화합니다.
• 보호 강화: 사이트 격리(Site Isolation)와 CSP(Content‑Security‑Policy)를 적용하여 외부 HTML 콘텐츠 실행을 제한합니다.
• 장기 대책: V8 JIT 옵션 비활성화, 샌드박스 모니터링 도구 배포 및 정기적인 취약점 스캔으로 추가 체이닝 공격에 대비합니다.

우선순위: 규칙 기반 우선순위 결정에 따라 이번 주 내 대응이 권고됩니다(높은 CVSS 8.8, KEV 미등재, EPSS 미제공, exploit moderate).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None