Google Chrome 153がリリース、42件のセキュリティ脆弱性を修正

Googleはデスクトップ版Chrome 153をStableチャンネルでリリースし、WebGL、Chrome内部機能、Workersに影響する3件のクリティカル(緊急)な脆弱性を含む、合計42件のセキュリティ脆弱性を修正しました。

今回のアップデートは、WindowsおよびmacOS向けにバージョン153.0.8010.47/48として、Linux向けにはバージョン153.0.8010.47として展開されています。

今回の修正には、ブラウザのコアコンポーネント全体にわたるメモリ安全性、認可、競合状態(race condition)、型混同(type confusion)に関する脆弱性が幅広く含まれています。

Googleのブルテインでは現時点でこれらの脆弱性が実際に悪用されているとの記載はありませんが、クリティカルなuse-after-free脆弱性や境界外読み取り(out-of-bounds read)の問題は、一般ユーザー、企業、そして管理対象ブラウザ環境において速やかなパッチ適用が重要であることを改めて示しています。

修正されたクリティカルな脆弱性

最も深刻な問題はCVE-2026-91726で、WebGLにおける境界外読み取りの脆弱性です。これはGoogleが9月3日に社内報告したもので、グラフィックス処理パスにおける不適切な境界処理に起因します。

Vulnerabilitydiscovery service

攻撃者が被害者のプロセスに悪意あるWebコンテンツを読み込ませることができれば、情報漏えいやブラウザプロセスの侵害につながる可能性があります。

Chrome 153では、Internalsにおけるuse-after-free脆弱性であるCVE-2026-91721と、Workersにおける別のuse-after-free脆弱性であるCVE-2026-91749も修正されています。

Use-after-freeのバグは、解放済みのメモリにソフトウェアがアクセスし続けることで発生します。ブラウザにおいてこの種の脆弱性は特に深刻で、場合によってはコード実行やサンドボックス環境からの脱出に悪用されることがあります。

修正のうち28件は深刻度「高」に分類されています。これには、Input、Skia、DOM、Core、Auth、PDF、DigitalCredentials、WebAppInstalls、V8といったコンポーネントにおけるuse-after-free脆弱性、V8 JavaScriptエンジンにおける整数オーバーフロー、ServiceWorkerにおける境界外書き込み(out-of-bounds write)が含まれます。

修正の中には、ServiceWorker、CacheStorage、WebUI、拡張機能、ネットワークコンポーネント、ANGLE、PDFレンダラーなど、多くの組織が標準で有効にしているWeb向け機能に影響するものもあります。

注目すべき認可関連の脆弱性は、Core、Extensions、WebUI、Android関連機能で修正されました。GoogleはCore、PlatformIntegration、Extensions、Network、WebAppInstallsにおける競合状態も修正しています。

Googleは今回の問題の一部について、外部の研究者に功績を認めています。Hafiizh氏はInputにおけるuse-after-free問題であるCVE-2026-91724の報告により、1,500ドルの報奨金を受け取りました。

一方、ソウル大学Compsec Labに所属するJihyeon Jeong氏は、V8における整数オーバーフローの脆弱性CVE-2026-91728を発見し、1,000ドルを受け取りました。その他複数の報告に対する報奨金は現時点でTBD(未定)とされています。

ユーザーには、Chromeの自動アップデート機能を有効にして最新のStableビルドをインストールし、アップデートを完了させるためにブラウザを再起動することが推奨されます。

企業の管理者は、特に信頼できないリンク、ドキュメント、Webアプリケーション、外部からのメールコンテンツを日常的に扱うシステムについて、エンドポイント管理やブラウザ管理コンソールを使って配布状況を確認する必要があります。

Googleは、大多数のユーザーがアップデートを完了するまで、技術的な詳細やバグへのリンクを制限したままにする場合があると述べています。同社はまた、脆弱性が広範囲に悪用される前にセキュリティ上の欠陥を特定する上で、AddressSanitizer、MemorySanitizer、UndefinedBehaviorSanitizer、Control Flow Integrity、libFuzzer、AFLといったメモリ安全性・ファジング技術を社内で活用していることも功績として挙げています。

CVEの詳細

アクティブなマルウェアやフィッシングの発生から24時間以内に、SOCを最新の情報でアップデートしましょう。 早期検知でインシデントを防ぐため、ANYRUNを試してみましょう。 

Malwareanalysis tool