CVE-2026-5281: Chrome Dawn(WebGPU) Use-After-Free 제로데이

‍

2026년 4월 1일(현지 기준), Google은 Chrome 안정 채널 업데이트를 통해 21건의 보안 취약점을 수정했습니다. 이 중 CVE-2026-5281은 Google이 실제 공격에 악용되고 있음을 공식 확인한 제로데이 취약점입니다. 해당 취약점은 Chrome의 WebGPU 구현체인 Dawn 컴포넌트에서 발생한 Use-After-Free(UAF) 버그로, 렌더러 프로세스가 먼저 침해된 상태에서 임의 코드 실행으로 이어질 수 있습니다. 2026년 들어 Chrome 제로데이가 네 건 연속 확인되었으며, 모두 그래픽·렌더링 서브시스템에 집중되는 패턴이 나타나고 있습니다.

‍

■ 핵심 판단

‍

실제 공격 확인: Google은 CVE-2026-5281에 대한 익스플로잇이 실제 환경에서 사용되고 있음을 공식 인정했습니다.

공격 체인의 2단계로 추정: NVD 설명에 따르면 이 취약점은 렌더러 프로세스가 이미 침해된 상태를 전제합니다. 단독 악용보다는 별도의 렌더러 탈출 버그와 결합한 샌드박스 탈출 체인의 후속 단계로 쓰일 가능성이 높습니다.

동일 연구자의 연속 제보: 최근 두 차례 Chrome 업데이트에서 수정된 Dawn UAF 버그 세 건이 모두 같은 익명 연구자에 의해 제보되었습니다. Chrome 그래픽 스택을 집중 타깃으로 하는 지속적인 리서치가 진행 중일 가능성을 시사합니다.

Chromium 기반 브라우저 전체 영향 가능: Dawn은 Chromium 공통 컴포넌트이므로, 패치가 적용되지 않은 Edge, Brave, Opera, Vivaldi 등도 동일하게 취약할 수 있습니다.

‍

■ 취약점 개요

‍

‍

■ 기술 분석

✔️Use-After-Free란

Use-After-Free는 메모리가 해제된 이후에도 해당 메모리를 가리키는 포인터를 계속 역참조할 때 발생하는 메모리 오류입니다. 해제된 블록이 다른 용도로 재할당되면, 공격자는 그 영역을 자신이 제어하는 데이터로 채운 뒤 stale 포인터를 통해 제어 흐름을 탈취할 수 있습니다. C++로 작성된 Chromium 코드베이스는 구조적으로 이 유형의 버그에 취약한 환경을 갖고 있습니다.

✔️Dawn과 WebGPU

Dawn은 Google이 개발한 WebGPU 표준의 오픈소스 크로스플랫폼 구현체로, Chromium 프로젝트에 통합되어 있습니다. WebGPU는 웹 애플리케이션이 GPU 하드웨어에 직접 접근할 수 있게 해주는 API로, 3D 렌더링, 머신러닝 추론, 고성능 연산 등 다양한 용도로 활용됩니다. API 표면이 확장될수록 신뢰할 수 없는 웹 콘텐츠에 노출되는 저수준 C++ 코드 경로도 함께 늘어납니다.

✔️공격 시나리오 (추정)

✔️2026년 Chrome 제로데이 현황

4개월 연속으로 그래픽·렌더링 서브시스템이 타깃이 되고 있습니다. 단순 우연이 아니라 체계적인 공격 리서치 패턴으로 볼 필요가 있습니다.

‍

■ 영향 평가

영향 대상: Chrome 146.0.7680.177 미만을 사용하는 Windows, macOS, Linux 전체 사용자

브라우저 확산 가능성: Chromium 기반 브라우저도 패치 적용 전까지 동일하게 취약할 수 있음

기업 환경: 브라우저 업데이트를 중앙 관리하는 조직은 배포가 완료되지 않은 엔드포인트가 노출 구간이 될 수 있음

개인 사용자: 자동 업데이트가 활성화되어 있어도 브라우저 재시작 전에는 실제 패치가 적용되지 않을 수 있음

공개 정보 한계: 공격자 정보, 구체적 악용 방식, 기술 세부 정보 및 PoC는 현재 공개되지 않았음

‍

■ 대응 포인트

즉시 업데이트: Chrome을 146.0.7680.177/178 이상 버전으로 업데이트하고 반드시 재시작합니다.

업데이트 경로 확인: 메뉴 → 도움말 → Chrome 정보 → 업데이트 후 재시작

Chromium 기반 브라우저 점검: Edge, Brave, Opera, Vivaldi 등도 벤더 패치 배포 즉시 업데이트가 필요합니다.

기업 관제 환경 점검: EDR 또는 자산 관리 시스템으로 브라우저 버전 현황을 점검하고, 미패치 엔드포인트를 우선 처리해야 합니다.

그래픽 스택 취약점 모니터링 강화: Dawn, WebGL, Skia, WebCodecs 등 그래픽·미디어 서브시스템 취약점 동향을 지속적으로 확인할 필요가 있습니다.

‍

[참고 자료]

• The Hacker News — New Chrome Zero-Day CVE-2026-5281 Under Active Exploitation
• Help Net Security — Google fixes Chrome zero-day with in-the-wild exploit (CVE-2026-5281)
• Security Affairs — Google fixes fourth actively exploited Chrome zero-day of 2026
• NVD — CVE-2026-5281
• CISA Known Exploited Vulnerabilities Catalog