Googleは火曜日、230件の脆弱性を修正しました。その中には、実際の攻撃で悪用されている新たなChromeゼロデイ脆弱性も含まれており、年初から数えて7件目の悪用済みゼロデイ脆弱性となります。
「CVE-2026-87491を悪用するエクスプロイトが実際に存在することをGoogleは把握しています」と、同社は火曜日のセキュリティ勧告で述べています。
ソウル国立大学Compsec Labの研究インターン、Jihyeon Jeong氏がGoogleに報告してから2日後、同社はWindows(153.0.8010.36)、Mac(153.0.8010.37)、Linux(153.0.8010.36)向けの修正版をStable Desktopチャンネルで展開し始めました。
Googleによると、このセキュリティアップデートが世界中のすべてのChromeユーザーに行き渡るまでには数日から数週間かかる可能性があるとのことですが、BleepingComputerが本日確認した時点ではすでに適用可能な状態でした。
手動でのアップデートを好まないユーザーは、Chromeが自動的にアップデートを確認し、次回起動時にインストールする仕組みに任せることもできます。
この深刻度の高いゼロデイ脆弱性(CVE-2026-87491)は、ChromeのV8 JavaScript・WebAssemblyエンジンに存在する境界外書き込みの脆弱性に起因しており、リモートの攻撃者は細工したHTMLページを介して、ウェブブラウザのサンドボックス内で任意のコードを実行できます。
また、悪用に成功すると、ヒープ破壊を通じてメモリバッファの範囲外にあるデータにアクセスできるようになり、機密情報の漏えいやクラッシュの発生につながる恐れもあります。
GoogleはCVE-2026-87491のゼロデイエクスプロイトが実際の攻撃で使用されていることを把握しているとしていますが、これらの攻撃に関する詳細情報についてはまだ明らかにしていません。
「バグの詳細情報やリンクへのアクセスは、大多数のユーザーが修正を適用するまで制限される場合があります」とGoogleは述べています。「また、他のプロジェクトも同様に依存するサードパーティ製ライブラリにバグが存在し、それがまだ修正されていない場合も、制限を維持します」
年初以降、Googleはこのほかにも5件の実際に悪用されたゼロデイ脆弱性に対処しています。
- ChromeのCSSフォント機能値の実装であるCSSFontFeatureValuesMapにおけるイテレータ無効化バグ(CVE-2026-2441)。Googleは2月中旬にこれに対処しました。
- 3月の攻撃で悪用された2件の別のChromeゼロデイ脆弱性。Skia 2Dグラフィックスライブラリにおける境界外書き込みの脆弱性(CVE-2026-3909)と、V8 JavaScript・WebAssemblyエンジンにおける不適切な実装の脆弱性(CVE-2026-3910)です。
- Chromiumプロジェクトが使用するWebGPU標準のクロスプラットフォーム実装であるDawnにおける解放済みメモリ使用(use-after-free)の脆弱性(CVE-2026-5281)。Googleは4月にこれを修正しました。
- そして今月初めに修正された、V8における型の取り違え(type confusion)の欠陥(CVE-2026-85046)です。
Googleは2025年にも、実際の攻撃で悪用された別の8件のゼロデイ脆弱性を修正しており、その多くはスパイウェア攻撃で使用されるゼロデイエクスプロイトの追跡で知られる自社の脅威分析グループ(TAG)によって報告されたものです。
