Google Chrome 155、深刻なuse-after-free脆弱性など計10件のセキュリティ問題を修正

Googleは、10件のセキュリティ修正を含む Chrome 155 を Stable チャンネルでリリースしました。うち1件は、Prerender におけるuse-after-free（CVE-2026-110922）で、深刻度は「Critical（緊急）」と評価されています。今回のアップデートは2026年10月15日に公開されました。

CyberSecurity Tools

Stable チャンネルのバージョンは、WindowsとMacが155.0.8059.84/.85、Linuxが155.0.8059.84に更新されます。Googleによると、展開は「今後数日から数週間かけて」行われる予定です。

ただし、自動更新を待つ必要はありません。Chromeの「バージョン情報」ページを開けば更新を開始できるので、完了後にブラウザーを再起動してください。

Chrome 155のセキュリティ脆弱性

Googleが公開したアップデート情報によると、CVE-2026-110922 は Prerender のuse-after-freeです。Prerender は、ページ遷移を高速化するためにバックグラウンドでページを読み込む機能です。この脆弱性は、2026年10月2日に Xinyang Ge 氏が報告しました。

use-after-free は、解放済みのメモリをコードが使い続けることで発生します。攻撃者に悪用されると、メモリ破損を引き起こされ、場合によってはレンダラー内で任意のコードを実行される恐れがあります。

Googleは、悪用の詳細を公表していません。また、大半のユーザーが更新を終えるまで、バグトラッカーへのアクセスも制限しています。

深刻度「High（高）」の6件のうち5件は、V8、DOM、Core、SVG に存在します。残る1件は CVE-2026-110913 で、後述します。このうち4件は Xinyang Ge 氏が報告したもので、うち3件はChromeのJavaScript・WebAssemblyエンジンであるV8の脆弱性です。

なかでも注目されるのが CVE-2026-110913 です。DOM のメモリ破損の脆弱性で、Anthropic の Xinyang Ge 氏が「Claude の支援を受けて」2026年9月29日に報告しました。Googleは報告者のクレジットにAIモデルを明記しており、AIを活用した脆弱性調査が広がっている状況を映しています。

深刻度「Medium（中）」の3件は、いずれもGoogle自身の研究者が報告しました。内訳は、Desktop における不適切な入力検証、Compositing における use-after-free、Workers におけるメモリ破損です。Desktop の脆弱性は2026年4月12日に報告されており、今回の修正の中で最も古いものです。

Googleによると、これらの脆弱性の多くは、AddressSanitizer、MemorySanitizer、UndefinedBehaviorSanitizer、Control Flow Integrity、libFuzzer、AFLといったツールで発見されました。

アドバイザリーでは、実環境での悪用は報告されていません。脆弱性が報告されたのは2026年4月から10月にかけてです。

管理者は、管理下の全端末にChrome 155.0.8059.84/.85を配信し、更新後にブラウザーが再起動されたことを確認してください。Edge、Brave、Operaなど、ほかのChromiumベースのブラウザーも、今回の修正を取り込むケースが多くあります。ただし、修正版のリリース状況は各ベンダーで確認してください。