Googleは、Chrome Desktopの新たな安定版（Stable channel）アップデートをリリースしました。これによりブラウザはWindowsとMac向けにバージョン151.0.7922.173/.174、Linux向けにバージョン151.0.7922.173へと更新されます。
2026年8月20日に発表されたこのリリースでは、7件のセキュリティ脆弱性が修正されており、そのうち1件はクリティカル（Critical）レベルの深刻度に分類されています。最も深刻な脆弱性であるCVE-2026-76017は、Chromeのリモートデスクトップ機能であるChromotingに存在するuse-after-freeの脆弱性です。
use-after-freeの脆弱性は、プログラムが解放済みのメモリ領域を参照し続けてしまうことで発生するバグです。攻撃者はこれを悪用し、任意のコードを実行したりブラウザをクラッシュさせたりすることが多くあります。Googleは、2026年6月11日にこの問題を報告したのは自社の内部チームであるとしています。
Chromotingはリモートアクセスセッションを扱う機能であるため、この脆弱性が悪用されれば、攻撃者がリモート接続を乗っ取ったり、ホストシステム上でコードを実行したりできる可能性があります。今回の修正サイクルの中でも最も注目すべき修正といえます。
残る6件の脆弱性はいずれも深刻度「高（High）」に分類されており、JavaScriptエンジンからプラットフォーム固有のテーマ処理コードまで、Chromeの幅広いサブシステムに及んでいます。
これらの脆弱性のいくつかには注目すべき点があります。V8（ChromeのJavaScriptエンジン）の競合状態（レースコンディション）であるCVE-2026-76020と、GoogleのBigSleep@Grape AI支援ファジング活動によって発見されたDOM内のuse-after-freeであるCVE-2026-76021は、いずれもサンドボックス脱出やリモートコード実行チェーンの標的として頻繁に狙われる、価値の高い攻撃対象領域に関わるものです。
ネットワークスタックにおけるバッファオーバーフローであるCVE-2026-76022と、Importにおける権限昇格の脆弱性であるCVE-2026-76018も同様に、ドライブバイ攻撃や悪意あるダウンロードのシナリオで悪用される可能性があることから、早急なパッチ適用が求められます。
CVE-2026-76023はLinux固有のプラットフォームネイティブなテーマ処理ツールキットに関するものであるため、Linux上でChromeを利用しているユーザーは、この更新を優先的に適用すべきです。
Googleが明らかにしたところによると、報奨金（バウンティ）のステータスが「N/A」または「TBD」と記載されている複数の項目については、大多数のユーザーが更新を適用するまでの間、脆弱性の詳細やリンクへのアクセスが制限されたままになるとのことです。これは、パッチが広く行き渡る前の積極的な悪用を防ぐための標準的な措置です。
これは、脆弱性が他所での修正を待っている状態の共有サードパーティライブラリに存在する場合にも同様に適用されます。
ユーザーは、設定 > Chromeについての画面から、自身のChromeが151.0.7922.173/.174（Linuxでは151.0.7922.173）へ自動的に更新されていることを確認し、ブラウザを再起動してパッチを適用する必要があります。
クリティカルに分類されたChromotingの脆弱性や、V8およびDOMにおける複数のメモリ安全性の問題を踏まえると、この更新の適用を先延ばしにすることは、リモートコード実行やセッションハイジャックの危険にシステムをさらし続けることを意味します。
セキュリティチームに、不審な活動をより迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/google-chrome-151-patches-critical-use-after-free/
