Google Chromeバージョン150.0.7871.186では、Codecs、WebMCP、Blink、Inputといった主要なブラウザコンポーネントに影響する深刻度「高」の脆弱性4件が修正されています。
Googleはこれらの脆弱性が実際に悪用されているという証拠は確認していないとしていますが、大多数のChromeユーザーがアップデートを適用するまでは、技術的なバグレポートや関連情報へのアクセスを制限しています。
Vulnerabilityassessment service
これは、広範囲にパッチが適用される前に脆弱性が悪用可能な形に武器化されるリスクを減らすための、標準的な対応です。
Google Chrome 150アップデートの内容
最も深刻な問題として特定されたCVE-2026-16807は、Chromeの Codecsコンポーネントにおける境界外書き込み(out-of-bounds write)の脆弱性です。Googleはこの欠陥を社内で報告したのは2026年5月30日です。
境界外書き込みのバグは、ソフトウェアがメモリバッファの境界を超えてデータを書き込んでしまう際に発生します。ブラウザ環境において、こうしたメモリ破損の問題はアプリケーションの不安定化につながるほか、状況によっては攻撃者がブラウザプロセス内でコードを実行するために悪用される可能性もあります。
Chromeバージョン150.0.7871.186では、解放後使用(use-after-free)の脆弱性も3件解消されています。CVE-2026-16806はWebMCPに影響するもので、Googleは2026年6月10日に報告しています。CVE-2026-16805は、ブラウザのレンダリングエンジンであるBlinkにおける解放後使用の欠陥で、6月12日に報告されました。最後のCVE-2026-16804はInputコンポーネントに影響するもので、6月16日に報告されています。
解放後使用の脆弱性は、ソフトウェアが解放済みのメモリに引き続きアクセスしてしまうことで発生し、攻撃者がプログラムの動作を操作したり、メモリ破損を引き起こしたりする可能性があります。
Blinkコンポーネントにおける脆弱性は特に重大な意味を持ちます。Blinkはウェブコンテンツの処理を担い、ウェブページ・スクリプト・ブラウザのレンダリング機能の間のやり取りを管理しているためです。
一方、メディアコーデックや入力処理機能に関する欠陥は、悪意のある、あるいは特別に細工されたウェブコンテンツによって引き起こされる可能性がありますが、これは悪用に必要な具体的なコードパスや条件によって左右されます。Googleは、今回特定された4件の脆弱性について、攻撃手法や概念実証(PoC)の詳細、悪用可能となる条件をまだ公表していません。
Googleのアドバイザリに外部の研究者への謝礼(バグ報奨金)の記載がないことから、これらの脆弱性は社内で発見されたものとみられます。Googleは、自社のセキュリティエンジニアリングの取り組みと、AddressSanitizer、MemorySanitizer、UndefinedBehaviorSanitizer、Control Flow Integrity、libFuzzer、AFLといった自動テスト技術の貢献を認めています。
これらのツールは、Chromeの開発・テスト工程において、安全でないメモリ操作、未定義動作、コードフローの脆弱性を検出するのに役立っています。
管理者は、Chromeのメニューから「ヘルプ」、続いて「Google Chromeについて」を選択することで、インストールされているChromeのバージョンを確認できます。
この操作によってアップデートの確認が行われ、必要に応じてブラウザの再起動が促されます。特に機密データを扱うシステムや高リスク環境で稼働しているシステムでは、企業のIT担当チームは管理された更新ポリシーを通じて優先的にアップデートを展開すべきです。
また、ダウンロードされたパッチはブラウザを再起動するまで有効になりません。ユーザーはアップデートのダウンロード後、Chromeを再起動するようにしてください。
Chromeバージョン150.0.7871.186の完全な変更履歴は、Chromiumのソースリポジトリで確認できます。パッチの適用が広く行き渡った後に追加の脆弱性情報が公開される可能性があるため、防御担当者はChromeのセキュリティアドバイザリやCVEレコードを引き続き注視し、今後の技術的な情報を確認することが推奨されます。
Vulnerabilityassessment service
ALERT: 20+ government sites delivered malware to businesses and citizens. See full attack research to check your own exposure.
翻訳元: https://gbhackers.com/google-chrome-150-update/
