Googleは、Windows、macOS、Linux向けにChrome 155をリリースしました。深刻度「クリティカル」の脆弱性7件を含む、計37件のセキュリティ脆弱性が修正されています。
CyberSecurity Tools
2026年10月13日に発表されたこのデスクトップ版アップデートでは、グラフィックス、ネットワーク、PDF処理、メディア、JavaScript実行など、ブラウザのさまざまなコンポーネントにわたる脆弱性が解消されました。
今回の更新には、クリティカルの脆弱性7件のほか、深刻度「高」の29件と「中」の1件が含まれており、セキュリティ面で重要な強化となります。
修正版のバージョンは、WindowsとmacOSが155.0.8059.79/.80、Linuxが155.0.8059.79です。Googleは、今後数日から数週間かけて更新を順次配信するとしています。
Googleの発表では、影響を受けるコンポーネントと脆弱性の種類は示されていますが、悪用に必要な条件の詳細は明らかにされていません。
また、Googleはこれらの脆弱性が実際に悪用されているかどうかを確認していません。そのため、ゼロデイ脆弱性として扱うべきではありません。
修正されたクリティカルの脆弱性7件
クリティカルの脆弱性のうち、CVE-2026-110152はANGLEにおけるバッファオーバーフローです。depthfirstのZhenpeng “Leo” Lin氏が9月30日に報告しました。
残る6件はいずれもuse-after-free（解放後使用）の脆弱性です。内訳は、ブラウザ本体のCVE-2026-110149、PDF処理のCVE-2026-110136、ネットワークのCVE-2026-110161、コアコンポーネントのCVE-2026-110165、SVGのCVE-2026-110148、メディアのCVE-2026-110151です。これらは単一のコンポーネントの欠陥ではなく、ブラウザの異なるサブシステムにまたがっています。
ブラウザ本体、ネットワーク、コアコンポーネントのクリティカルな脆弱性はGoogleが報告しました。一方、PDF、SVG、メディアの問題はXinyang Ge氏が報告しています。これらの報告は10月1日から10月6日の間に提出されました。
Googleはいずれの脆弱性もクリティカルと評価しています。ただ、アドバイザリーには、攻撃チェーンやPoC（概念実証）コード、個々の脆弱性だけでデバイスを完全に乗っ取れるかどうかについての情報はありません。そのため、深刻度の評価と、攻撃者の具体的な能力に関する未検証の主張は区別して考える必要があります。
深刻度「高」の29件には、V8の型混同（type confusion）の脆弱性CVE-2026-110140のほか、V8のuse-after-free脆弱性CVE-2026-110169とCVE-2026-110168が含まれます。
GoogleはCVE-2026-110169について、Anthropicの Xinyang Ge氏がClaudeの支援を受けて9月28日に報告したとしています。このほか、WebRTC、DOM、Canvas、ShapeDetection、SVG、PDF、パスワード、メディアでもメモリ関連の脆弱性が修正されており、今回のパッチが広範なコンポーネントに及ぶことがわかります。
深刻度「高」の問題の中には、メモリのライフサイクルに関するエラーではなく、認可や権限の扱いに関するものもあります。ReadingModeにおける認可の欠如、UpdaterとMojoにおける不適切な認可、Installerにおける権限昇格などです。
Googleはこのほか、パスワードマネージャーの情報漏えい、拡張機能における不適切な参照解決、アニメーションとPDFiumのバッファオーバーフロー、サードパーティコンポーネントの未初期化変数の問題も修正しました。唯一の深刻度「中」の脆弱性であるCVE-2026-110142は、FileSystemに影響します。
VulnerabilityScanning Service
Googleによると、バグの技術的な詳細へのアクセスは、大半のユーザーが修正版を受け取るまで制限される場合があります。影響を受けるサードパーティライブラリが、まだパッチを適用していない他のプロジェクトと共有されている場合は、制限が続く可能性もあります。
このため、トリガー条件や悪用可能性に関する公開情報は限られます。それでもGoogleは、識別子、深刻度、影響を受けるコンポーネント、研究者のクレジット、一部の報奨金情報を開示できます。
今回のリリースでは、Googleのテストツール群も紹介されています。AddressSanitizer、MemorySanitizer、UndefinedBehaviorSanitizer、Control Flow Integrity、libFuzzer、AFLなどです。これらのツールは、Chromeの開発段階でセキュリティ上の欠陥の特定を支援し、研究者の報告を補完しています。
新たなマルウェアの出現と同時に防御を更新しましょう。1万6千のSOCのデータを活用するTIフィードを統合。
翻訳元: https://gbhackers.com/google-chrome-update-fixes-37-security-vulnerabilities/
