Google は Chrome ブラウザの複数の深刻な脆弱性を修正するアップデートをリリースしました。
このアップデートには、悪意のあるウェブサイトにアクセスするだけでリモートコード実行に使用できる 2 つの重大な脆弱性の修正が含まれています。
安定版チャネルは Windows/Mac の場合は 148.0.7778.178/179 に、Linux の場合は 148.0.7778.178 にアップデートされ、今後数週間にかけてロールアウトされます。
Chrome をアップデートする方法
ロールアウトを待ちたくない場合は、手動でアップデートするのは簡単です。
最も簡単なアップデート方法は Chrome を自動的にアップデートできるようにすることです。ただし、ブラウザを閉じないか、拡張機能がアップデートを妨害するなど何か問題が発生した場合は、遅れてしまう可能性があります。
手動でアップデートするには、その他メニュー（3 つのドット）をクリックしてから、設定＞Chrome についてに移動します。アップデートが利用可能な場合、Chrome はダウンロードを開始します。アップデートを完了するために Chrome を再起動すると、これらの脆弱性から保護されます。
すべてのオペレーティングシステムで Chrome をアップデートする方法に関するステップバイステップガイドでも手順を確認できます。
技術的な詳細
このアップデートには 2 つの重大な脆弱性の修正が含まれています:
CVE-2026-9111: WebRTC の use-after-free 脆弱性により、リモート攻撃者は細工された HTML ページを介して Linux で任意のコードを実行できました。use-after-free はプログラムの操作中の動的メモリの不正な使用が原因で発生する脆弱性のクラスです。メモリロケーションを解放した後、プログラムがそのメモリへのポインターをクリアしない場合、攻撃者はこのエラーを利用してプログラムを操作できる可能性があります。
したがって、攻撃者が Linux ユーザーを騙して悪意のある HTML ファイルを開いたり、特別に細工されたウェブサイトにアクセスさせたりできれば、デバイスを侵害できる可能性があります。
CVE-2026-9110: Windows の UI の不適切な実装により、レンダラープロセスを侵害したリモート攻撃者が、細工された HTML ページを介して UI スプーフィングを実行できました。
実際には、攻撃者がブラウザの内部レンダリングエンジンを既に制御していた場合、ブラウザを騙して本物のように見える偽のウィンドウまたはダイアログボックスを表示させることができました。たとえば、この偽のウィンドウは、信頼できるサイトにパスワードを入力しているように見えても、実際には攻撃者に与えているように見せることができました。
誤ってリークされた「Browser Fetch」の欠陥の修正をこのアップデートに含めることを期待していた人にとって、これは残念なことになるでしょう: 含まれていません。
それについて読んでいない人のために、46 ヶ月前の報告以来、「Browser Fetch」脆弱性は Chromium 開発者を除いて未知のままでした。その後、2026 年 5 月 20 日に Chromium バグトラッカーに公開されました。当初脆弱性を報告した研究者はそれが最終的に修正されたと想定していました。その直後、彼女はそれが修正されていないままであることを知りました。Google は投稿を削除しましたが、エクスプロイトコードとともにアーカイブサイトで利用可能なままです。
