「패치 갭」 제로데이 연쇄 — Chromium에는 수정이 들어갔으나 안정판 Chrome에는 아직 반영되지 않은 취약점이 1주일 만에 복수의 스파이 그룹에 공유되었다
Chrome의 V8 샌드박스 탈출과 Windows ALPC 악용을 연쇄시킨 BlueMoon 공격 체인이, Volexity의 관측에서 적어도 복수의 중국발 클러스터에 공유되고 있었음이 밝혀졌다. Chromium에는 수정이 들어갔으나 안정판 Chrome에는 반영되지 않았다는 「패치 갭」의 위험성을 정리한다.
이 글은 기계 번역입니다.
2026년 9월 15일, Volexity는 중국발로 여겨지는 위협 클러스터(UTA0560)가, 9월 1일에 복수의 NGO를 표적으로 한 표적형 메일 공격에서, Google Chrome과 Microsoft Windows의 취약점을 연쇄시키는 공격 체인(BlueMoon이라고 부른다)을 사용했다고 보고했다. 메일 안의 링크는 미국 대학 사이트의 반사형 XSS를 악용하여 공격자가 관리하는 인프라로 유도하고, 그곳에서 3단계의 익스플로잇이 전개된다. CVE-2026-85046으로 V8 샌드박스 안의 임의 읽기쓰기를 얻고, CVE-2026-87491로 브라우저 샌드박스를 빠져나가며, 마지막으로 CVE-2026-85880으로 Windows의 Advanced Local Procedure Call(ALPC)을 악용하여 Chrome 프로세스로의 코드 주입과 임의 코드 실행에 이른다. Volexity는, 공격자가 Windows 위의 Chrome 이외를 걸러 내도록 필터하고 있던 점도 지적한다(Volexity / The Hacker News의 보도에 따름).
분석(사실과 분리): 특기할 점은 같은 익스플로잇 체인의 「공유」이다. Volexity의 관측에서는, UTA0560이 GRIMWEDGE라는 JavaScript형 백도어(C2에서 eval로 명령을 받는, 중간 정도의 능력을 가진 초기 발판)를 전개한 전후로, JungleBamboo(APT31)도 같은 체인으로 로더 SUPERSTOMP를 전개하고, 최종적으로 정규 Google Gemini 확장을 위장한 정보 탈취 Chrome 확장 LONGTALE을 넣고 있었다. 미디어의 표제에서는 「4개의 스파이 그룹이 1주일 만에 같은 키트를 사용했다」고 보도되어 있으며(The Hacker News), 개발자가 Chromium의 소스 차분에서 익스플로잇을 다시 만들어 복수의 클러스터에 제공했을 가능성이 시사되어 있다. 익스플로잇이 「제품」처럼 유통되는 구조는, 공격면의 일반화가 빠르다는 것을 의미한다.
기술적으로 가장 흥미로운 것은 패치 갭이다. Chrome 취약점 2건(CVE-2026-85046 / CVE-2026-87491)의 수정은 Chromium의 오픈소스 코드에는 앞서 커밋되어 있었으나, 안정판 Chrome의 릴리스에는 아직 들어 있지 않았다. 커밋 이력이 공개되어 있는 소프트웨어에서는, 수정 차분에서 공격 코드를 다시 만드는 위험이 항상 따라붙지만, 이번 건은 「상류에서는 수정되었고 하류에서는 아직 수정되지 않았다」는, 통상의 N-day와도 제로데이와도 다른 상태가 실제 공격에 쓰인 사례이다. Chrome의 메이저 릴리스 주기가 최근까지 4주였다는 점(지금은 2주)도, 공격자가 그 창을 노리기 쉬웠던 한 요인으로 생각되나, 이것을 단정할 수는 없다. Volexity는, LLM이 취약점 연구와 익스플로잇 개발을 빠르게 할수록 패치 갭의 위험도가 커진다고 지적하고 있다.
방어자에 대한 함의: (1) 표적형 공격의 첫 접점은 「정규 사이트의 반사형 XSS」였다. 경계 방어보다 앞에서, 자기 사이트의 XSS를 체인의 발판으로 내주지 않는 것이 중요해진다. (2) 브라우저와 OS 양쪽을 가로지르는 연쇄에 대해서는, 브라우저의 격리(사이트 격리, 강제 샌드박스)와 엔드포인트 탐지 양쪽이 의미를 가진다. (3) 패치 갭은 「패치를 적용하는 속도」로는 막지 못한다. 상류 커밋을 따라가는 팀이나, 릴리스 전에 수정을 공개하는 위험을 헤아린 벤더 쪽의 배려가 비로소 효과가 있는 영역이다. (4) LONGTALE과 같은 확장 위장에 대해서는, 설치되어 있는 확장을 점검하는 것이 현실적인 대책이 된다. 본고의 사실 관계는 Volexity의 보고, The Hacker News, BleepingComputer의 보도에 근거하며, 분석 부분은 사실과 나누어 적고 있다.