Google Chrome 153アップデート、重大な脆弱性2件を含む16件のセキュリティ問題を修正

Googleは、Chromeのバージョン153を安定版デスクトップチャンネルでリリースし、DawnグラフィックコンポーネントとWebGLに影響する重大度「Critical」の脆弱性2件を含む16件のセキュリティ脆弱性に対処しました。

今回のアップデートは、WindowsおよびmacOS向けにバージョン153.0.8010.52として展開されています。Linuxユーザーには、今後数週間にわたりバージョン153.0.8010.52が順次提供される予定です。

Google Chrome 153アップデートで16件のセキュリティ問題を修正

最も深刻な問題は、Chromiumが実装するWebGPU APIのDawnに存在するuse-after-free(解放済みメモリの使用)の脆弱性で、CVE-2026-93374として追跡されています。

Vulnerabilitydiscovery service

use-after-freeの脆弱性は、解放済みのメモリへ引き続きアクセスすることで発生し、条件によってはクラッシュやメモリ破損、コード実行につながる恐れがあります。この脆弱性は、Florian Schweitzer氏が2026年4月8日にGoogleへ報告しました。

2件目の重大な脆弱性であるCVE-2026-93372は、WebGLにおけるバッファオーバーフローです。バッファオーバーフローの脆弱性は、割り当てられたメモリ領域の外側にデータが書き込まれることを許してしまい、ブラウザのクラッシュや、より深刻な悪用につながる可能性があります。このWebGLの問題は、2026年8月17日にGoogle自身が報告しました。

いずれの脆弱性も、ウェブサイトやウェブアプリケーションから信頼できない可能性のあるコンテンツを処理する、ブラウザのグラフィック関連コンポーネントに影響します。Googleは技術的な悪用の詳細を公表していませんが、重大度「Critical」という評価を踏まえると、企業・個人を問わずChromeユーザーには速やかなパッチ適用が不可欠です。

Chrome 153はさらに、複数のChromiumサブシステムにまたがる重大度「High」の脆弱性7件も修正しています。これには、ChromiumのPDFレンダリングコンポーネントであるPDFiumにおけるuse-after-freeの不具合と、同じくPDFiumの別のバッファオーバーフローの不具合が含まれます。

悪意のあるPDFファイルはフィッシングメールやダウンロード、改ざんされたウェブサイトを通じて配布されうるため、攻撃者はドキュメントのレンダリング機能を標的にすることがよくあります。

その他の重大度「High」の修正には、Tracingにおける参照解決の誤り、Skiaにおける状態検証の不備、Extensionsコンポーネントにおけるuse-after-freeの問題、ORBにおける認可の誤り、そしてV8 JavaScript・WebAssemblyエンジンにおける型の混同(type confusion)の不具合が含まれます。

JavaScriptエンジンにおける型混同のバグは、攻撃者が制御するウェブコンテンツを処理する際にメモリ安全性を損なう可能性があるため、特に重要な問題です。

残りの修正は、重大度「Medium」の脆弱性6件と重大度「Low」の不具合1件に対応するものです。重大度「Medium」の問題には、FileSystemにおける競合状態、Omniboxにおけるサーバーサイドリクエストフォージェリ(SSRF)、Permissionsにおける情報漏えい、DataTransferにおける境界外読み取り、Storageにおける認可の欠如、Paintにおける情報漏えいが含まれます。

Chrome 153では、WebAppInstallsにおける重大度「Low」のUI誤表示の不具合であるCVE-2026-93386も修正されています。この種の問題は、ユーザーがインストールプロンプトやブラウザのインターフェース要素をどう解釈するかに影響を及ぼす可能性があり、ソーシャルエンジニアリングによる悪用のリスクを高めかねません。

管理者は、管理下にあるWindows・macOS・Linux環境全体でChrome 153の展開を優先すべきです。特に今回のリリースには、ブラウザが外部に公開しているグラフィック、PDF、拡張機能、JavaScriptの各コンポーネントにおけるメモリ安全性の不具合が含まれているため、この点は重要です。

ユーザーは、Chromeのメニューから「ヘルプ」→「Google Chromeについて」と進むことで、インストール済みのバージョンを確認できます。Chromeは自動的にアップデートをダウンロードしますが、パッチ適用済みのバージョンを有効にするにはブラウザの再起動が必要です。

Googleは、脆弱性の詳細については大多数のユーザーが更新を終えるまで非公開のままとする場合があると述べています。これは、展開期間中に脆弱性が悪用される可能性を低減することを狙った取り組みです。

CVEの詳細

SOCのアラート調査時間を1件あたり21分短縮。IOCの文脈を即座に把握し、迅速な対応をSOCにもたらします: TI LookupをSOCに統合する