Google、2026年6件目のゼロデイ脆弱性を修正するChromeアップデートを公開

Chromeユーザーはまた一つ、悪用が確認されているゼロデイ脆弱性への対応を迫られています。しかも今回の脆弱性は、現代のウェブの多くを支えるエンジン内部に存在するものです。

Googleは、Chrome の V8 JavaScript / WebAssemblyエンジンに存在する深刻度「高」の型混同（type confusion）脆弱性CVE-2026-85046を修正しました。同社は、この脆弱性を悪用するエクスプロイトが実際に出回っていることを確認しており、これによりGoogleが2026年に入ってから修正したChromeのゼロデイ脆弱性は6件目となります。

Googleは、誰がこの脆弱性を悪用しているのか、誰が標的にされているのか、攻撃がどのような手口で行われているのかについては明らかにしていません。アップデートの展開中はあえて情報公開を制限しているためですが、ユーザーが取るべき対策はシンプルです。Chromeを確実に最新版へアップデートすることです。

Chromeアップデート、12件のセキュリティ不具合を修正

Googleが公開したChromeのリリースノートによると、今回のアップデートには12件のセキュリティ修正が含まれており、WindowsおよびmacOS版はバージョン152.0.7977.82/.83に、Linux版はバージョン152.0.7977.82にそれぞれ更新されています。

CVE-2026-85046は、セキュリティ研究者のSalvatore Gulizia氏(別名Serotav)により8月4日にGoogleへ報告されました。Googleは同研究者に1,000ドルの報奨金を授与しています。

この脆弱性は、ChromeがJavaScriptおよびWebAssemblyの処理に使用するエンジンであるV8における型混同脆弱性に分類されています。型混同とは、ソフトウェアがあるデータを誤った型として扱ってしまう現象を指し、メモリ破損を引き起こし、攻撃者に悪用の糸口を与える可能性があります。

CVEレコードによると、CVE-2026-85046はバージョン152.0.7977.82より前のChromeに影響し、細工されたHTMLページを通じて、リモートの攻撃者がChromeのサンドボックス内で任意のコードを実行できる可能性があるとされています。

同社は、大多数のユーザーが修正版をインストールするまで、脆弱性の詳細情報へのアクセスを制限する場合があるとしています。

2026年、積み重なるChromeのゼロデイ脆弱性

今回のセキュリティアップデートは、Chromeで今年悪用が確認された脆弱性への対応として初めてのものではありません。

SecurityWeekによると、Googleが2026年にこれまで修正したChromeのゼロデイ脆弱性は、CVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、CVE-2026-11645、そして今回のCVE-2026-85046を含め、これで6件となりました。

3月には、GoogleはChromeのゼロデイ脆弱性2件を修正しています。これらはSkiaグラフィックスライブラリとV8エンジンに影響するもので、いずれも実際に悪用が確認されていました。

その数週間後には、CVE-2026-5281が修正されました。これはChromeのWebGPU実装に影響する深刻な解放後使用(use-after-free)脆弱性で、こちらも実際に悪用が確認されていたものです。

ブラウザは、信頼できないウェブコンテンツを扱う一方で、メールやクラウドサービスから金融口座、企業向けアプリケーションに至るまで、あらゆるものへのアクセスを提供しています。そのため常に攻撃者の標的となり続けています。

攻撃者はまた、Chrome自体の脆弱性以外にも目を向けています。eSecurity Planetは以前、悪意あるブラウザ拡張機能を用いたキャンペーンについて報じています。これは、認証済みのブラウザセッションにリモートのJavaScriptを注入する手口で、従来のエンドポイント検知ツールをすり抜けるものでした。

これらの一連の事例は、ブラウザが企業の攻撃対象領域における他の重要な要素と同等のセキュリティ対応を必要としている理由を物語っています。

Chromeユーザーが今すぐ取るべき対応

個人のChromeユーザーにとって最も重要なのは、最新のアップデートが実際にインストールされているかどうかを確認することです。

Chromeを開き、右上の縦三点リーダーのメニューから「ヘルプ」＞「Google Chromeについて」を選択してください。Chromeは自動的にアップデートの有無を確認します。インストールを完了させるために、ブラウザの再起動が必要になる場合があります。

WindowsおよびmacOSユーザーはChrome 152.0.7977.82/.83以降、Linuxユーザーは152.0.7977.82以降を使用している状態が望ましいとされています。Googleによると、このアップデートは今後数日から数週間かけて順次展開される予定です。

一部のユーザーには、すでにChrome 153が表示される場合があります。これは、Googleが「Early Stable」チャンネルを通じて、一部のユーザーに対して別途展開しているためです。

GoogleはAndroid版のChrome 152.0.7977.82もリリースしており、特に明記がない限り、Android版のリリースにはデスクトップ版の対応するリリースと同じセキュリティ修正が含まれるとしています。

IT管理者にとっては、Chromeの自動アップデート機能に頼るだけでは不十分な場合があります。組織としては、管理下にあるすべてのエンドポイントでブラウザのバージョンを確認し、まだアップデートが適用されていないシステムを洗い出す必要があります。

Googleは今回のパッチを段階的に展開しているため、一部のデバイスではまだ新バージョンの適用を待っている状態である可能性があります。管理者は、特に機密性の高い業務アプリケーションにアクセスするエンドポイントを中心に、これらのシステムの監視を継続する必要があります。

Googleは、今回の攻撃がどの程度広範囲に及んでいるか、また誰が標的にされているかについては明らかにしていません。悪用がすでに確認されている以上、組織としては修正版が利用可能になり次第、速やかにインストールを完了させることが求められます。

関連記事: ブラウザ内で高まりつつあるリスクについてさらに詳しく知りたい方は、ブラウザの脅威が企業の攻撃対象領域を拡大させている実態についての記事もあわせてご覧ください。