Google Chrome 156、353件のセキュリティ脆弱性を修正　深刻度「Critical」6件を含む

Googleは、Windows、macOS、Linux向けのChromeバージョン156を安定版チャンネルでリリースしました。深刻度「Critical」の6件を含む、353件のセキュリティ脆弱性を修正しています。

Cybersecuritynews platform

2026年10月20日に発表されたこのアップデートでは、ブラウザーの各コンポーネントにあったメモリ破壊、use-after-free（解放後使用）エラー、入力検証の不備などの弱点に対処しました。Googleによると、配信は今後数日から数週間かけて順次進みます。

リリース告知によると、対象バージョンはLinux版が156.0.8078.47、Windows版とmacOS版が156.0.8078.47/.48です。セキュリティ修正の対象は、グラフィックス描画、アクセシビリティ、ネットワーク、ブラウザーUI、拡張機能、ストレージなど広範囲に及びます。

深刻度「Critical」の脆弱性6件を修正

Criticalの脆弱性のうち5件は、メモリ破壊に関するものです。

• CVE-2026-113341（Skia）
• CVE-2026-113279（Accessibility）
• CVE-2026-113072（CSS）
• CVE-2026-113280（Paint）
• CVE-2026-113303（WebRTC）

6件目のCVE-2026-113271は、Accessibilityに影響するuse-after-freeの脆弱性です。Googleの告知には、深刻度の評価と影響を受けるコンポーネントの詳細が記載されています。一方で、悪用に必要な前提条件や、攻撃チェーンの全容は明らかにされていません。

Skiaの脆弱性はGoogle自身が発見しました。Accessibility、CSS、Paintの3件のCriticalなメモリ破壊の問題は、研究者のXinyang Ge氏が報告しています。

Vulnerabilityassessment service

Accessibilityのuse-after-free脆弱性は、Anthropic所属のXinyang Ge氏が、Claudeの支援を受けて報告したものとされています。CriticalなWebRTCの脆弱性は、「kylebot」として認定されたOpenAI Codex Securityが報告しました。今回のリリースでは、AIを活用した脆弱性調査の成果が目立ちます。

今回のアップデートでは、ANGLEに関する深刻度「High」の脆弱性も複数修正されました。ほかにも、V8、GPU処理、Canvas、Navigation、FileSystem、WebRTCに影響する問題が対象です。

ANGLEの脆弱性には、メモリ破壊、use-after-free、不適切な入力検証、境界外読み取りが含まれます。V8の修正はメモリ破壊とuse-after-freeの両方を対象としており、個々のコンポーネント内で複数種類の欠陥に対処していることがわかります。

深刻度「High」の脆弱性は、ほかにもSite Isolation、パスワード管理、プライバシー、ServiceWorkers、PDF機能、ブラウザーのインストール処理に影響します。

Googleは、Site Isolationのuse-after-free脆弱性（CVE-2026-113101）を報告したVinFastのQuyen Son氏に、10,000ドルの報奨金を支払いました。告知には、FileSystemのuse-after-free問題（CVE-2026-113097）に対する3,000ドルの報奨金も記載されています。このほか、金額が未確定の少額の報奨金もあります。

Googleは、大半のユーザーが修正を適用するまで、バグの詳細へのアクセスを制限する場合があるとしています。他のプロジェクトが使うサードパーティライブラリに影響する脆弱性で、そのプロジェクトが未修正の場合も、制限がかかることがあります。

したがって、公開されている説明を、悪用可能性や下流への影響を網羅した技術評価と受け取るべきではありません。

告知では、これらの脆弱性が実際に悪用されているかどうかは示されていません。CVSSスコアや、リモートコード実行やサンドボックス回避の攻撃チェーンが確認されたかどうかについても、詳細はありません。

Vulnerabilityassessment service

報道にあたっては、Googleによる「Critical」「High」の分類と、リリース告知で確認されていない悪用の結果とを区別する必要があります。

告知全文によると、内訳はCriticalが6件、Highが68件、Mediumが190件、Lowが89件で、合計353件です。詳細な表には、公開済みのすべてのCVE、その深刻度、影響を受けるコンポーネント、脆弱性の種類が掲載されています。

本稿では、依頼で示されたCriticalとHighの抜粋にとどまらず、Googleのリリース告知全文にあるMediumとLowの項目も載せています。元の告知には、研究者のクレジット、報告日、個別の報奨金額の詳細も記載されています。

記載した項目はすべてGoogleのリリース告知に基づきます。「UAF」はuse after free、「OOB」は境界外（out-of-bounds）を指します。

MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのSandboxをSOCに導入。