GoogleがChrome 157で悪用確認済みのゼロデイ脆弱性を修正｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. GoogleがChrome 157で悪用確認済みのゼロデイ脆弱性を修正
             

GoogleがChrome 157で悪用確認済みのゼロデイ脆弱性を修正



Googleは11月9日（米国時間）、Chromeのセキュリティ更新を公開した。この更新で9件の脆弱性を修正し、そのうち1件は実際の攻撃で悪用されたゼロデイとされる。セキュリティ専門メディアのSecurityWeekは、2026年に修正された悪用確認済みのChromeゼロデイとして8件目と報じている。

概要

今回悪用が確認されたのは、ChromeのXMLコンポーネントにあるUse-after-free（解放後使用）の脆弱性「CVE-2026-125350」で、深刻度は「High」とされる。Use-after-freeは、ソフトウェアが解放済みのメモリにアクセスすることで起きる欠陥である。悪用されると、任意のコード実行やサービス拒否につながるおそれがあるとされる。

Googleの発表と各報道によると、時系列は次のとおり。

11月3日、GoogleはChrome 157を安定（Stable）チャネルへ昇格させた。

11月6日、匿名を希望する研究者が、この脆弱性をGoogleに報告した。

11月9日、Stableチャネルが、WindowsとMacは157.0.8103.50/.51、Linuxは157.0.8103.50に更新された。Chrome 157としては初のセキュリティアップデートである。

11月10日時点で、米CISAは、この脆弱性を悪用が確認された脆弱性のカタログ（KEV）にまだ追加していない。

原因や侵入経路について、Googleは詳細を公表していない。

被害・影響の範囲

Googleは悪用コードが実際に出回っていると明記した一方、攻撃者、標的、配布方法、悪用コードの機能は明らかにしていない。被害件数や被害を受けた組織は公表されておらず、調査中の扱いとなる。

今回の更新は計9件の修正を含む。深刻度の内訳は、High（4段階で2番目に高い）が7件、Medium（同3番目）が2件。最も深刻な「Critical」の脆弱性は含まれていない。悪用が確認された1件以外では、もう1件のXMLのUse-after-free（CVE-2026-125346）とV8エンジンのType confusion（CVE-2026-125344）などが修正された。

対象はWindows、Mac、Linux向けのデスクトップ版Chromeである。Chromiumベースの他のブラウザーも同じエンジンコードを共有することが多く、各ベンダーの修正に注意が必要と報じられている。

企業・団体の対応

Googleは修正版をStableチャネルで公開した。配信は今後数日から数週間かけて段階的に進められる。

Googleは、多くのユーザーが更新するまで、バグの詳細を制限する場合がある。利用者向けには、更新はバックグラウンドで取得されるが、再起動後に有効になると案内されている。手動で確認するには、メニューの「ヘルプ」から「Google Chromeについて」を開き、再起動する。

企業向けのExtended Stableチャネルにも同日に別バージョンの修正が公開されており、利用するチャネルに応じた更新が必要とされる。

編集部コメント（読者企業が取るべき対策）

ブラウザーは社内で最も広く使われるソフトウェアであり、悪用確認済みの脆弱性は公開直後から攻撃に使われうる。自動更新に任せるだけでは、再起動が遅れた端末が残る。修正版の適用状況を、組織として確認する体制が求められる。

修正版の適用状況の確認
管理対象の端末で、Chromeのバージョンが157.0.8103.50以降になっているかを確認する。管理者は、管理下のデバイス全体で修正済みバージョンを検証することが勧められている。構成管理ツールで一覧化し、未適用端末を洗い出す。

再起動の徹底
更新は再起動しないと有効にならない。長時間起動したままの端末が多い部署には、再起動を促す通知を出す。期限を設け、更新が完了しない端末は個別に対応する。

チャネルと配信設定の見直し
Stable、Extended Stableなど、使用チャネルごとに対応するバージョンが異なる。自社の更新ポリシーで、どのチャネルを使っているかを把握しておく。配信の遅延設定がある場合は、緊急更新で例外にできるか確認する。

Chromium系ブラウザーの棚卸し
EdgeなどChromiumベースのブラウザーや、組み込み用のブラウザーコンポーネントも対象になりうる。社内で使われている製品を洗い出し、各ベンダーの修正情報を確認する。

不審な挙動への備え
未更新の端末が見つかった場合は、更新までの間、不審なサイトの閲覧に注意するよう周知する。EDRやプロキシのログで、ブラウザーの異常終了や不審な通信がないかを確認しておく。

なお、攻撃者や標的など攻撃の詳細は公表されていない。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。