Googleは、Windows、macOS、Linux向けにChrome 153を安定版チャネルでリリースし、230件のセキュリティ問題を修正しました。この中には、攻撃者がすでに実際の攻撃で悪用しているV8 JavaScriptエンジンの脆弱性も含まれています。
今回のリリースは今後数日から数週間かけて段階的に展開される予定で、Linux向けにはバージョン153.0.8010.36が、WindowsおよびmacOS向けには153.0.8010.36/.37が提供されます。
最も緊急性の高い問題は、V8における深刻度「中」の境界外書き込み脆弱性であるCVE-2026-87491です。Googleは、この脆弱性を悪用するエクスプロイトが実際に存在することを確認済みだと発表しています。
境界外書き込みのバグは、ソフトウェアが意図したメモリ境界の外側にデータを書き込んでしまうことで発生します。これによりメモリが破損し、ブラウザのクラッシュや任意のコード実行を招いたり、別の脆弱性と組み合わせることでさらなる悪用につながったりする可能性があります。
V8はChromeのJavaScriptおよびWebAssemblyエンジンであるため、このコンポーネントにおける脆弱性は特に重大です。悪意のあるWebサイトは、ブラウザで読み込まれるだけでV8の欠陥を引き起こす可能性があります。
同社は、大多数のChromeユーザーがパッチ適用済みのリリースを受け取るまで、一部のバグの詳細や関連リンクを非公開にしています。これは、日和見的な悪用の機会を減らすための標準的な措置です。
Chrome 153では、深刻度「重大」の脆弱性5件にも対応しています。そのうち4件はWebGLに関するもので、2件のuse-after-free(解放後使用)の欠陥、1件の境界外書き込み、1件のバッファオーバーフローが含まれます。
5件目のCVE-2026-87628は、Castにおけるuse-after-free問題です。WebGLやGPU関連のコンポーネントは、信頼できないWebコンテンツを処理し、複雑なメモリ処理の経路を露呈しやすいことから、攻撃者にとって魅力的な標的となっています。
今回のアップデートでは、ANGLE、PDFium、Codecs、WebGL、Web Authentication、DevTools、Payments、WebPackaging、V8にまたがる、数多くの深刻度「高」のメモリ安全性に関するバグも解消されています。
V8関連の主な修正には、深刻度「高」のuse-after-freeおよび型の混同(type confusion)の脆弱性のほか、深刻度「中」「低」に分類される複数のV8メモリ破損、競合状態(レースコンディション)、境界外アクセスの問題が含まれます。
企業の防御担当者にとっては、CVE-2026-87491が実際に悪用されている状況を踏まえ、パッチ適用を優先的に進めることが重要です。
セキュリティチームは、管理下のエンドポイントがChrome 153.0.8010.36以降に更新されていることを確認し、エンドポイント管理ツールを通じてブラウザバージョンの準拠状況を点検するとともに、ユーザーが再起動を無期限に先延ばしできないようにする必要があります。
Chromiumベースのブラウザを使用している組織も、ベンダーからのアドバイザリを注視すべきです。派生製品では別途アップデートが必要になる場合があります。Googleは、今回のリリースで対応したバグの報告について、社外の研究者、Microsoft、OpenAI Codex Security、そして社内チームに謝意を表しています。
16,000以上の組織から得られる最新のインテリジェンスで、脅威の検知率を58%向上。TIフィードを統合する、貴社のSOCに
翻訳元: https://cyberpress.org/google-chrome-153-fixes-230-security-flaws/
