Google Chrome 151アップデート、重大な「解放後使用」脆弱性5件を修正

Googleは、WindowsおよびmacOS向けにChromeバージョン151.0.7922.137/138、Linux向けにバージョン151.0.7922.137をリリースしました。

今回のアップデートでは、V8、TabStrip、Extensions、HTML、Blinkなど複数のChromeコンポーネントに影響する、重大度の高い解放後使用(UAF)脆弱性5件が修正されています。

Google Chrome 151アップデート

このStableチャンネル向けアップデートの展開は、2026年8月11日(火)から開始されました。Googleは今後数日から数週間にわたって展開を継続する予定であり、企業の管理者・個人ユーザーともに速やかにブラウザを更新することが重要です。

解放後使用の脆弱性は、あるメモリ領域に紐づいたオブジェクトが解放された後も、ソフトウェアがそのメモリ領域へのアクセスを続けてしまうことで発生します。ブラウザ環境において、この種の欠陥を悪用されると、アプリケーションのクラッシュ、メモリ破損、情報漏えい、あるいはブラウザのセキュリティコンテキスト内での任意コード実行につながる可能性があります。

Securityvulnerability scanner

UAF脆弱性の実際の影響度は、悪用可能性、サンドボックスによる保護、緩和策、そして影響を受ける具体的なコンポーネントなど、さまざまな要因によって左右されます。

今回のリリースにおいて最も重大な問題は、ChromeのV8 JavaScript・WebAssemblyエンジンに存在する重大度の高い解放後使用の脆弱性、CVE-2026-19556です。

V8はWebサイトから送られてくる信頼できないJavaScriptを処理するため、極めて重要な攻撃対象領域となっています。この脆弱性は、ソウル大学Compsec LabのJihyeon Jeong氏によって報告され、同氏はGoogleの脆弱性報奨金プログラムを通じて500ドルの報奨金を獲得しています。

残る4件の脆弱性は、Chromeのユーザーインターフェースおよびレンダリング関連のコンポーネントに影響します。CVE-2026-19557はブラウザのタブを管理するTabStripに、CVE-2026-19558はExtensionsサブシステムに、CVE-2026-19559はHTML処理に、そしてCVE-2026-19560はChromiumのレンダリングエンジンであるBlinkに、それぞれ存在します。

Googleは、これらの脆弱性に関する技術的な概念実証(PoC)の詳細、悪用の連鎖(エクスプロイトチェーン)、パッチ差分の分析などを公開していません。同社によれば、大多数のユーザーが修正を適用するまでの間、不具合の詳細情報へのアクセスは制限されたままになる可能性があるとのことです。

このような開示の遅延は一般的な慣行であり、未修正のシステムに対して攻撃者が公開されている技術情報を悪用しやすくなるリスクを低減するのに役立ちます。

ブラウザの複数コンポーネントにまたがってメモリ安全性に関する欠陥が存在していることは、タイムリーなパッチ管理の重要性を改めて浮き彫りにしています。Chromeは、悪意あるWebページを含むコンテンツを処理する上に、一般消費者・企業双方の環境で広く利用されているため、攻撃者にとって価値の高い標的となっています。

現時点で、Googleのアドバイザリでは、今回の5件のCVEのいずれについても、実環境で積極的に悪用されているとの記載はありません。とはいえ、組織としては、特権的な管理業務、金融関連の業務、ソフトウェア開発、機密性の高い内部サービスへのアクセスに使用されているシステムを中心に、重大度の高いブラウザ脆弱性への対応を優先すべきです。

Securityvulnerability scanner

管理者は、管理下にあるWindowsおよびmacOSのエンドポイントがChromeバージョン151.0.7922.138以降に、Linuxシステムがバージョン151.0.7922.137以降に更新されていることを確認する必要があります。ユーザーは「設定」→「Chromeについて」から現在のバージョンを確認でき、更新を完了するよう促された際にはブラウザを再起動してください。

新たなフィッシングやマルウェアが貴社に被害を及ぼす前に阻止しましょう。 世界15,000のSOCが活用するライブインテリジェンスを統合