Googleはデスクトップ版Chromeの新しい安定版チャンネル(Stable Channel)アップデートをリリースし、ブラウザのコアコンポーネントに影響する5件の深刻度「高」のセキュリティ脆弱性を修正しました。
これらの脆弱性には複数の解放後使用(use-after-free)に関するメモリ安全性の問題が含まれており、悪用に成功した場合、悪意あるWebコンテンツを通じてリモート攻撃が可能になる恐れがあります。
今回のアップデートにより、ChromeはWindowsおよびmacOSではバージョン151.0.7922.137/.138に、Linuxではバージョン151.0.7922.137にそれぞれ更新されます。
今回のリリースで対処された5件のセキュリティ問題はすべて「高」の深刻度評価を受けています。これらの脆弱性は、ChromeのJavaScriptエンジン、インターフェースコンポーネント、拡張機能フレームワーク、HTML処理、Blinkレンダリングエンジンにまたがっています。
V8 JavaScriptおよびWebAssemblyエンジンに影響するCVE-2026-19556は2026年7月15日に報告され、500ドルのバグ報奨金が支払われました。V8の脆弱性は特に重要視されています。というのも、Webアプリケーションは攻撃者が制御可能なJavaScriptを日常的に処理しているためです。
攻撃者は、武器化されたWebサイト、フィッシングリンク、侵害された広告、あるいは正規サイトが侵害された上でホストされたコンテンツなどを通じて、エクスプロイトコードの配信を試みる可能性があります。
解放後使用の脆弱性は、ソフトウェアが解放済みのメモリ領域に対してその後もアクセスを続けてしまうことで発生します。
攻撃者がその後のメモリ割り当てを確実に操作できる場合、プログラムの処理の流れを操作したり、ブラウザをクラッシュさせたり、機密データを漏えいさせたり、あるいは影響を受けるプロセス内でコードを実行させたりする可能性があります。
実際に悪用可能かどうかは、ブラウザのサンドボックス保護、メモリ緩和策、対象OS、さらに別の脆弱性と組み合わせられるかどうかなど、複数の要因に左右されます。
Googleのアドバイザリでは、今回の5件の脆弱性のいずれかが実際に悪用されたとは明記されていません。しかし、V8、Blink、HTML、Extensionsにまたがる形で深刻度「高」の解放後使用の問題が存在することを踏まえると、迅速なパッチ適用が賢明です。
BlinkとHTMLはChromeがWebページを処理する上で中核をなす部分であり、一方でExtensionsコンポーネントは企業にとって別種の懸念事項となります。サードパーティ製のChrome拡張機能の使用を許可している組織は、拡張機能のガバナンスを見直し、ユーザーに晒される攻撃対象領域を減らすため、不要なブラウザアドオンを最小限に抑えるべきです。
管理者は、管理下にあるWindowsおよびmacOSのエンドポイントがChrome 151.0.7922.137/.138に到達していることを確認する必要があります。また、Linux環境については151.0.7922.137以降にアップデートする必要があります。
個々のユーザーは、Chromeのメニュー→ヘルプ→Google Chromeについてから、インストール済みのバージョンを確認できます。この操作によりアップデートの確認が実行され、インストールを完了するにはブラウザの再起動が必要です。
Googleは、大多数のユーザーに修正が行き渡るまで、技術的な詳細やバグトラッカーへのリンクを制限したままにする場合があると述べています。この開示方針は、攻撃者がパッチを解析して未修正のシステムを狙う余地を減らすことを目的としています。
セキュリティチームは、ブラウザのバージョン監視を優先事項とし、企業向け管理ツールを通じて自動アップデートを強制するとともに、古いChromeビルドを稼働させているエンドポイントに対してアラートを発するようにすべきです。
ANY.RUNのブラウザ内データ検査で検知・調査・対応をより迅速に。フィッシングの完全な可視性を獲得し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/google-chrome-patches-multiple-browser-flaws/
