Chrome 149、429件の脆弱性にパッチを適用

Googleは今週、429件の脆弱性を修正したChrome 149を安定版チャンネルに昇格させました。1回のChrome更新としては過去最多の件数となります。

この件数はすでに2025年にリリースされたChrome全体のセキュリティ修正件数の数倍に相当しており、Chromeの脆弱性急増はAIの活用によるものとみられています。これを受けてGoogleは4月にChromeのバグバウンティ報酬額を引き下げました。

今回修正されたセキュリティ上の欠陥のうち、100件以上がクリティカルまたは高深刻度の問題であり、その多くはuse-after-freeおよび信頼できない入力の検証不足に起因する脆弱性です。

中でも最も深刻な脆弱性はCVE-2026-10881（CVSSスコア9.6）で、ANGLEグラフィックスエンジンにおける範囲外の読み書きに関する問題です。

攻撃者はこの脆弱性を悪用し、細工されたHTMLページを介してChromeのサンドボックスを脱出し、基盤となるOSでコードを実行できる可能性があります。

Googleは公式アドバイザリの中で、この問題を報告した外部研究者に対し、9万7,000ドルのバグバウンティ報酬を支払ったと発表しています。

外部研究者から報告されたクリティカル深刻度の欠陥はほかに2件あります。ネットワーク機能におけるuse-after-freeであるCVE-2026-10882には4万3,000ドル、ANGLEにおける範囲外書き込みであるCVE-2026-10883には5,000ドルのバグバウンティが支払われました。

今回のリリースで対処された残りの19件のクリティカル深刻度の脆弱性は、Googleが自ら発見したものです。高深刻度の脆弱性は約90件ありますが、外部研究者から報告されたのはそのうち10件のみです。

今回の更新で修正された中・低深刻度の脆弱性は300件以上にのぼりますが、このうち外部研究者が報告したのは約40件です。

修正された脆弱性の多くはuse-after-freeと信頼できない入力の検証不足に関するものです。このほか、不適切な実装、ポリシー施行の不備、範囲外アクセスの問題も多数対処されました。

Googleは報告した研究者に対し、合計で約20万8,000ドルのバグバウンティ報酬を支払いました。ただし、10件以上の報告についてはまだ金額が非公開のため、最終的な総額はさらに高くなる可能性があります。

最新バージョンは現在、Linux向けにはバージョン149.0.7827.53として、WindowsおよびmacOS向けにはバージョン149.0.7827.53/54として順次展開されています。