Googleは、V8 JavaScriptおよびWebAssemblyエンジンに存在する深刻度「高」の型混同（type-confusion）脆弱性CVE-2026-85046について、実際の攻撃で悪用されていることを確認したとして、Chromeの安定版チャンネル向けにセキュリティアップデートをリリースしました。
この脆弱性が悪用された場合、悪意のあるWebサイトによってメモリが破損させられ、Chromeのプロセス内で任意のコードが実行される恐れがあります。
Chrome 152.0.7977.82/.83はWindowsおよびmacOSユーザー向けに展開が進んでおり、Linuxユーザーにはバージョン152.0.7977.82が提供されます。
組織は通常のパッチ適用サイクルを待つべきではありません。管理対象のエンドポイントが速やかに修正版を受け取っていることを確認し、インストールを完了させるためにブラウザを再起動させる必要があります。
CVE-2026-85046は、ChromeがJavaScriptおよびWebAssemblyを処理するエンジンであるV8に存在する型混同の欠陥です。型混同とは、ソフトウェアがメモリ上のオブジェクトを本来とは異なる型として扱ってしまうことで発生します。
メモリセーフな条件下では、こうした型に関する前提は検証されます。しかし検証が行われない場合、攻撃者はメモリアクセスを誘発したり、データを破損させたり、コード実行を達成するためのエクスプロイトチェーンを構築したりできる可能性があります。
ブラウザを標的とする攻撃では、最初の接点は驚くほど単純なものになり得ます。被害者が攻撃者の管理下にあるWebコンテンツ、あるいは侵害された正規サイト経由で配信されたコンテンツにアクセスするだけで済んでしまうのです。
Chromeのサンドボックスや最新のエクスプロイト緩和策により、レンダラーが侵害された場合の影響は抑えられますが、高度な攻撃者はV8の脆弱性をサンドボックスエスケープやローカル権限昇格の脆弱性と組み合わせてくる可能性があります。
9月3日の安定版アップデートには、12件のセキュリティ修正が含まれています。CVE-2026-85046のほかにも、Googleは深刻度「高」の問題としてCrashReporting、Network、Compositing、WebGL、CacheStorage、DevTools、Skiaに関する脆弱性、および深刻度「中」の問題2件を挙げています。
各脆弱性の詳細は、大多数のユーザーがアップデートを完了するまで非公開とされています。これは、攻撃者がパッチをリバースエンジニアリングし、未パッチのシステムに対する攻撃に転用する機会を減らすための方針です。
V8の問題は、セキュリティ研究者のSalvatore Gulizia氏(別名Serotav氏)によって8月4日に報告され、1,000ドルの報奨金が支払われました。
Googleの発表によれば、実際の攻撃での悪用を確認しているとのことで、この脆弱性は研究者による通常の報告案件とは異なる位置づけとなっています。
セキュリティチームは、Chromeのデスクトップ版インストールを最新のバージョン152.0.7977.82/.83以降へ強制的にアップデートし、エンドポイント管理のテレメトリでバージョンの適用状況を確認するとともに、ユーザーにChromeの再起動を徹底させる必要があります。
管理者はまた、ブラウザのクラッシュレポート、Chromeから起動された不審な子プロセス、不審なブラウジングセッションに関連するエンドポイントの検知情報についても確認しておくべきです。
エクスプロイトの詳細情報は依然として限られているため、防御側は「侵害の兆候が見当たらない」ことを「安全である証拠」と捉えないよう注意が必要です。管理者、開発者、経理担当者、そして機密性の高いSaaSアプリケーションにアクセス権を持つユーザーが使用するシステムを優先的に確認してください。
不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/google-chrome-v8-flaw-exploited/
