Google Chrome 152で327件のセキュリティ脆弱性を修正、重大な脆弱性は10件

Googleは、Windows、macOS、Linux向けにChromeバージョン152をリリースし、327件のセキュリティ脆弱性を修正しました。このうち10件は「重大(Critical)」に分類されています。

SocialSecurity protection

この安定版チャンネルの更新は、Linux向けにはバージョン152.0.7977.64として、Windowsおよびmacos向けにはバージョン152.0.7977.64/.65として展開されています。

今回の更新は、ChromeのユーザーインターフェースやグラフィックスタックJavaScriptエンジン、ネットワーキングコンポーネント、Chromecast機能全体にわたって修正されたメモリ安全性の問題の深刻度と件数の多さから、重要な意味を持っています。

Googleはこれらの脆弱性が現時点で実際に悪用されているとは示していませんが、複数の脆弱性がブラウザのエクスプロイトチェーンに利用される可能性があるため、組織およびユーザーは今回のリリースを優先的にパッチ適用すべき対象として扱う必要があります。

Chrome 152における重大な脆弱性

10件の重大な脆弱性はすべて以下の通りです。うち9件は解放済みメモリ使用(use-after-free)に関する問題で、これはブラウザのクラッシュを引き起こしたり、悪用に成功した場合には任意のコード実行を許したりする可能性があるメモリ破損の一種です。残る1件はChromecastにおける不適切な入力検証の問題です。

外部からの報告のうち最も重要な問題であるCVE-2026-79282は、Chromeのグラフィックス変換レイヤーであるANGLEに影響します。ANGLEは、さまざまなプラットフォーム上での描画のためにグラフィックスAPI呼び出しを変換する役割を担っています。

複雑なWeb配信のグラフィックスコンテンツを処理する性質上、ANGLEは以前から価値の高い攻撃対象領域とされてきました。Googleは、この脆弱性を報告した研究者Goodluck氏に25,000ドルの報奨金を授与しました。

深刻度「高」の脆弱性

Chrome 152では、ANGLE、V8、WebRTC、Extensions、GPU、WebGL、Aura、Chromecast、Bluetooth、Autofill、FedCM、およびブラウザのサンドボックスコンポーネントに影響する、深刻度「高」の脆弱性も多数解決されています。

公表された脆弱性の種類には、範囲外読み取り・書き込み、バッファオーバーフロー、型の混同、整数オーバーフロー、解放済みメモリ使用、競合状態、認可の不備、情報漏洩、UIの誤表示などが含まれます。

Vulnerabilityscanning service

ブラウザの悪用状況を監視する防御担当者にとって、特に重要となる深刻度「高」の脆弱性がいくつかあります。

ChromeのV8 JavaScriptエンジンでは、深刻度「高」の型混同に関するバグが修正されました。同時に、ANGLEについても、範囲外書き込み、バッファオーバーフロー、型の混同、解放済みメモリ使用など、複数のメモリ破損の問題に対する修正が施されています。これらのコンポーネントは、悪意のあるWebコンテンツを通じて悪用されるケースが一般的です。

深刻度「中」「低」の修正

残りの修正は深刻度「中」または「低」に分類され、Chromeのネットワーキングスタック、サイト分離、DevTools、Web Authentication、USB、WebXR、ファイル処理、Extensions、Custom Tabs、Service Workers、権限管理、決済機能、メディア、DOM、GPU、Skia、V8、WebView、およびエンタープライズ機能に対応するものです。

Googleのアドバイザリではさらに、認可の欠如、不適切な認可、情報開示、競合状態、UIスプーフィング、リソースのライフタイムに関するエラー、入力検証の不足に関連する不具合についても言及されています。

Googleは、大半のChromeユーザーが更新版をインストールするまで、一部の技術的なバグの詳細やリンクを非公開のままにすると述べています。

この標準的な情報公開方針は、攻撃者が未パッチのシステムに対して公開された脆弱性の詳細情報を悪用する機会を最小限に抑えることを目的としています。

管理者は、管理下にあるWindows、macOS、Linuxの各システム全体でChrome 152の展開を優先すべきです。ユーザーはchrome://settings/helpにアクセスすることで、インストール済みのバージョンを確認できます。このページにアクセスすると、Chromeの組み込みアップデートチェックが自動的に開始されます。インストールを完了するにはブラウザの再起動が必要です。

セキュリティチームは、Chromiumベースのブラウザについても、各ベンダーが対応する修正をリリースした際に確実に更新するようにする必要があります。Googleは、社外の研究者と社内チームの双方の貢献を認めており、サニタイザー、Control Flow Integrity、libFuzzer、AFLといったツールが、脆弱性が安定版チャンネルに到達する前にセキュリティ問題を特定する上で役立っていると述べています。

SocialSecurity protection

調査の遅れによるインシデントを防ぎましょう。15,000のSOCから得られる脅威インテリジェンスで、Tier 1の対応力を強化してください: TI LookupをSOCに統合する