Debian Chromium 보안 업데이트: DSA-6577-1 수정 버전과 점검 방법

Chromium 설치 버전을 확인하고 Debian 보안 패키지로 업데이트하세요

이번 확인에서 다루는 공개 식별자: CVE-2026-110913, CVE-2026-110914. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Debian은 2026년 10월 22일 DSA-6577-1에서 Chromium의 여러 보안 문제를 공지하고 chromium 패키지 업그레이드를 권고했습니다. 공지는 임의 코드 실행, 서비스 거부, 정보 노출 가능성을 설명하며, trixie의 수정 버전을 156.0.8078.47-1~deb13u1로 명시합니다.

후속 수집된 Debian 보안 추적기에는 CVE-2026-110913에 대해 bookworm과 trixie의 수정 기준 및 더 최신인 보안 패키지가 표시됩니다. 운영자는 배포판과 설치 경로를 먼저 구분한 뒤 해당 릴리스의 보안 저장소가 제공하는 수정 패키지를 적용해야 합니다.

이 글은 제공된 공식 자료의 수집 사본을 검토한 글입니다. 실제 악용, 조직 내 설치·침해, 패치 완료를 확인한 결과는 아닙니다.

영향 조건과 대응 우선순위

Google CNA 설명에서 CVE-2026-110913은 DOM 메모리 손상으로, 조작된 HTML 페이지를 통해 샌드박스 내부에서 임의 코드 실행이 가능한 문제입니다. Chromium 보안 등급은 High입니다. CVE-2026-110914는 Workers 메모리 손상으로 같은 조건에서 샌드박스 내부 코드 실행 가능성이 있으며, 등급은 Medium입니다. 두 설명은 Google Chrome 155.0.8059.84 이전 버전을 대상으로 합니다.

이 설명만으로 샌드박스 탈출이나 운영체제 전체 장악을 단정할 수 없습니다. Debian Chromium의 수정 여부는 Chrome의 버전 경계를 그대로 대입하지 않고 Debian 공지와 패키지 추적기를 기준으로 판단해야 합니다.

영향 버전과 수정 버전 구분

영향 버전과 수정 버전 구분 — 계속 1

추적기는 trixie의 150.0.7871.181-1~deb13u1도 vulnerable로 표시합니다. 이 두 취약 패키지 예시를 전체 영향 범위로 해석해서는 안 됩니다. 또한 bookworm의 CVE-2026-110913 수정 정보를 DSA에 열거된 모든 CVE의 수정 확인으로 확대하지 않습니다.

배포판 backport와 패키지 리비전

배포판은 보안 수정을 backport하거나 별도 패키지 리비전으로 제공할 수 있으므로 상위 프로젝트 버전 숫자만으로 취약 여부를 판정하지 않습니다. 이번 자료에서는 Debian이 명시한 전체 버전 문자열과 릴리스 구분을 사용해야 합니다. 특정 수정이 backport 방식으로 구현됐는지는 제공 자료로 확인되지 않습니다.

읽기 전용 점검표

다음 명령은 독자가 자신의 시스템에서 실행할 수 있는 조회 예시입니다. 이 검토 과정에서는 실행하지 않았습니다.

cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' chromium chromium-common chromium-sandbox
apt-cache policy chromium chromium-common chromium-sandbox

읽기 전용 점검표 — 계속 2

• 운영체제가 bookworm인지 trixie인지 확인합니다.
• Chromium 설치 여부와 전체 패키지 버전을 기록합니다. 미설치 패키지 조회 오류는 취약 판정 근거가 아닙니다.
• 설치 버전과 해당 릴리스의 공식 수정 기준을 비교합니다.
• APT 후보 버전과 저장소 출처를 확인합니다. apt-cache policy는 로컬 캐시를 조회하므로 최신 저장소 상태를 보장하지 않습니다.
• 별도 다운로드, 컨테이너, 다른 패키지 형식으로 설치한 브라우저는 Debian 패키지 조회 결과와 분리해 관리합니다.
• 자동화 작업이 사용하는 Chromium도 확인합니다. 화면에서 사용하는 브라우저만 점검하면 설치 사본을 놓칠 수 있습니다.

공식 대응과 업데이트 후 확인

공식 대응은 Debian의 chromium 패키지 업그레이드입니다. trixie에서는 DSA의 수정 기준을 충족하는 해당 릴리스용 보안 패키지를 적용합니다. 후속 추적기에 표시된 더 최신 보안 패키지도 참고하되, 실제 적용 시점의 저장소 후보와 출처를 확인합니다. bookworm은 위 표의 CVE-2026-110913 수정 기준을 사용합니다.

제공된 공식 자료에는 업데이트를 대체하는 설정 변경이나 별도 완화책이 없습니다. 샌드박스 비활성화 같은 설정 변경을 해결책으로 제시하지 않습니다.

• 조직의 패키지 변경 절차에 따라 보안 업데이트를 적용합니다.
• 설치 버전을 다시 조회하고 수정 기준 충족 여부를 기록합니다.
• 열린 작업을 저장한 뒤 Chromium과 이를 사용하는 자동화 프로세스를 완전히 종료하고 다시 시작합니다. 이는 실행 중인 이전 프로세스 사용을 피하기 위한 운영 권고입니다.
• 업무 로그인, 주요 웹 애플리케이션, 파일 다운로드, 프록시·인증서 연동과 브라우저 자동화가 정상 동작하는지 확인합니다.
• 검증 결과와 예외를 기록합니다. 패키지 설치 성공만으로 업무 정상이나 침해 부재가 증명되지는 않습니다.

근거의 수집 시점과 남은 불확실성

원본 DSA의 제공 수집 시각은 2026년 10월 25일 22:21 UTC입니다. CNA 두 문서와 Debian 추적기의 후속 수집·확인 시각은 2026년 11월 2일 21:10 UTC이며, 한국 시각으로 11월 3일 06:10입니다. 이 날짜는 수집 기록이며 이 글에서 직접 접속해 재확인한 날짜가 아닙니다.

DSA 사본은 잘림 표시가 있지만 제품, 영향 요약, trixie 수정 버전과 업그레이드 권고는 포함합니다. 제공 사본의 PGP 서명을 검증하지 않았습니다. CNA 자료도 원본 잘림 표시가 있으나 선택된 필드 발췌는 잘리지 않은 것으로 기록돼 있습니다. 설명은 확인 가능하지만 구조화된 버전 필드의 version과 lessThan이 같은 값이므로 정확한 경계 해석에는 주의가 필요합니다. Debian 대응은 별도로 확인된 배포판 수정 버전에 근거합니다.

Ubuntu의 두 CVE 페이지는 HTTP 503으로 수집에 실패했습니다. Ubuntu 영향·수정 버전이나 패치 제공 여부는 확인된 것으로 취급하지 않습니다. DSA에 열거된 나머지 CVE는 개별 영향 조건과 등급 자료가 없어 이 글에서 상세 분석하거나 등급을 부여하지 않습니다.

공식 원문과 편집 범위

• Debian DSA-6577-1 공지
• Debian CVE-2026-110913 패키지 상태
• Google CNA의 CVE-2026-110913 기록
• Google CNA의 CVE-2026-110914 기록

공식 원문과 편집 범위 — 계속 3

관련 운영 점검 글은 보안 허브에서 확인할 수 있습니다.

이 글은 자동 수집된 공식 문서 사본을 AI 작성 보조로 대조·정리했습니다. 동일 DSA 원본과 후속 근거를 합친 검토이며 별도 신규 사건이나 발행 완료를 의미하지 않습니다. 실제 게시, 서버 변경, 패치 적용과 침해 검사는 수행하지 않았습니다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• DSA 사본은 잘림 표시가 있으나 영향 요약, trixie 수정 버전과 업그레이드 권고는 포함한다. PGP 서명은 검증하지 않았다.
• CNA 원본은 잘림 표시가 있으며 선택 발췌는 비잘림으로 기록됐다. 구조화된 버전 필드의 경계 표현에 주의가 필요하다.
• Ubuntu 두 출처는 HTTP 503으로 실패해 영향·수정 패키지를 확인하지 못했다.
• bookworm 추적기 근거는 CVE-2026-110913에 한정하며 DSA 전체 CVE의 수정 확인으로 확대할 수 없다.
• 실제 악용, KEV 등재, 샌드박스 탈출 및 개별 운영 환경의 설치·침해 여부는 확인되지 않았다.
• DSA에 열거된 나머지 CVE의 개별 영향 조건과 등급은 제공 자료로 확인되지 않았다.