Googleは、Chromeデスクトップ版向けの新しい安定版(Stable Channel)アップデートをリリースし、26件のセキュリティ脆弱性を修正しました。この中には、Shared Tab GroupsとWebGLに影響する重大度「Critical」のUse-After-Freeの欠陥2件も含まれています。
今回のアップデートは、WindowsおよびmacOS向けにChromeバージョン152.0.7977.75/.76、Linux向けにバージョン152.0.7977.75として展開されています。
今回のリリースでは、Webコンテンツを処理するブラウザコンポーネントの複数のメモリ安全性の問題に対処しているため、ユーザーおよび企業の管理者は速やかにアップデートを適用すべきです。
最も深刻な脆弱性はCVE-2026-84353とCVE-2026-84352として追跡されています。CVE-2026-84353はShared Tab Groupsにおける重大なUse-After-Freeの問題で、CVE-2026-84352は、ブラウザを通じてインタラクティブな2D・3Dグラフィックスを描画するChromeのインターフェースであるWebGLに影響します。
Use-After-Freeの脆弱性は、解放済みのメモリにソフトウェアがアクセスし続けることで発生します。
ブラウザの攻撃チェーンにおいて、こうしたメモリ破損のバグは、悪用可能性やChromeの多層防御の有効性次第では、クラッシュの発生、情報漏えい、あるいは攻撃者が制御するコードの実行に悪用される可能性があります。
さらに11件の欠陥が重要度「High」と評価されています。これらには、ChromeのProxy、Browser、Dawnの各コンポーネントにおけるUse-After-Freeのバグ、V8 JavaScriptエンジンにおける未初期化リソースの問題、そしてGPUバッファオーバーフローが含まれます。
Googleはまた、FileSystem、Omnibox、DataTransferに影響する認可および入力検証の欠陥も修正しました。
今回のパッチセットには、WebRTC、Downloads、Navigation、SiteSettings、Chromoting、MediaCapture、TabStrip、FullScreenにおける重要度「Medium」の脆弱性も含まれています。
重要度「Low」の複数の問題としては、認可上の欠陥、UIの誤表示、CredentialProviderにおける「confused deputy」問題、そしてTabStripにおける別のUse-After-Freeの欠陥が対処されています。
Googleは、今回の26件の脆弱性のいずれかが実際に悪用されているとは明言していません。
ただし、技術的な詳細や関連するIssueへのリンクについては、大多数のユーザーが修正版を導入するまで非公開のままとなる場合があります。これは、新たに公開された脆弱性が、パッチの普及が進む前に攻撃者に悪用される可能性を減らすための標準的な措置です。
Chromeユーザーは、「設定」→「Chromeについて」に進み、ブラウザに最新版をダウンロードさせたうえで再起動することで、アップデートを完了できます。
組織においては、管理下にあるWindows、macOS、Linuxの各エンドポイントで導入済みのバージョンを確認し、信頼できないWebコンテンツにさらされているシステムを優先的に修正することが求められます。
セキュリティチームに、疑わしい活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/google-chrome-update-fixes-26-security-flaws-2/
