Google Chrome 157、深刻な脆弱性7件を含む213件の脆弱性を修正

Googleは、Chrome 157で213件のセキュリティ脆弱性を修正しました。このうち7件は、グラフィックス描画やメモリ処理などを担うブラウザコンポーネントに影響する深刻（Critical）な脆弱性です。

このアップデートは11月3日にWindows、macOS、Linux向けに公開されました。深刻な脆弱性に加え、重要度「高（High）」の脆弱性77件にも対処しています。Googleは修正を段階的に配信しているため、インストールを完了するにはブラウザの再起動が必要になる場合があります。

Googleは、悪用が確認された証拠を公表していません。しかし、脆弱性の数と深刻度を考えると、Chrome 157は個人ユーザーにも企業のセキュリティチームにも重要なアップデートです。

ブラウザのセキュリティに影響する7件の深刻な脆弱性

深刻な脆弱性は、Dawn、ANGLE、WebGL、Prerender、Geometry、Coreなど、Chromeの複数のコンポーネントに影響します。

うち2件は、ChromeのWebGPU実装を支えるDawnにおけるバッファオーバーフローです。そのひとつであるCVE-2026-121156は、depthfirstのZhenpeng (Leo) Lin氏が報告し、1万ドルのバグ報奨金を獲得しました。もうひとつの深刻な脆弱性CVE-2026-121229は、Chromeのグラフィックス変換レイヤーであるANGLEにおけるメモリ破損の問題です。研究者の@mfx氏が報告し、1,000ドルの報奨金を受け取りました。

残る5件の深刻な脆弱性は、use-after-free（解放後メモリ使用）が4件、バッファオーバーフローが1件です。これらのメモリ安全性の欠陥はクラッシュを引き起こす可能性があります。影響を受けるコンポーネントや悪用条件によっては、攻撃者に悪意のあるコードを実行される恐れもあります。

今回のアップデートでは、重要度の高い脆弱性77件も修正されました。認可の不備、メモリ破損、型混同（type confusion）の問題などが含まれ、V8、PDFium、ANGLEといったコンポーネントに影響します。Googleによると、これまでに研究者へ総額3万1,000ドルのバグ報奨金を支払いました。ただし、報告された39件の脆弱性については、報奨金額がまだ決まっていません。

注目を集めるAI支援のセキュリティ研究

今回のリリースでもうひとつ注目されるのが、脆弱性の発見でAIツールが果たす役割の拡大です。Googleのアドバイザリは、Anthropicの研究者Xinyang Ge氏が、Claudeの支援を受けて発見した複数の脆弱性を報告したと記載しています。Prerender、Geometryなど、Chromeの各コンポーネントの欠陥が含まれます。

OpenAI Codex Securityも、V8やPDFiumに影響する問題を含む複数の脆弱性の報告者として記載されています。

こうしたクレジットは、AI支援による脆弱性研究の存在感が高まっていることを示しています。ただし、AIシステムが単独で欠陥を発見・検証したことを裏付けるものではありません。ブラウザ開発者にとっては、これらのツールによって報告される脆弱性の数が増える可能性があります。そのため、報告内容の調査、修正の優先順位付け、攻撃者に悪用される前のパッチ提供がいっそう重要になります。

Chromeユーザーが今すぐ行うべきこと

Chromeユーザーは、自動配信をいつまでも待たず、バージョン157をインストールしてください。Googleは、修正された脆弱性の悪用を確認したとは公表していません。しかし、深刻な脆弱性と重要度の高い脆弱性が多数あるため、更新を先延ばしにすると不要なセキュリティリスクを抱えることになります。

更新を確認するには、Chromeの三点メニューを開き、［ヘルプ］＞［Google Chromeについて］へ進んでください。ブラウザが新しいバージョンを確認します。更新が利用可能な場合は、［再起動］を選択してインストールを完了します。

Android版Chromeも、Google Playを通じてバージョン157.0.8103.38の配信が始まっています。今後数日間で提供範囲が拡大する見込みです。

企業はブラウザ更新をセキュリティ上の優先事項と位置づけるべき

企業にとってChrome 157は、ブラウザのセキュリティを日常的なエンドポイント管理に組み込むべきだという、改めての警鐘です。

企業のIT部門にとっての優先事項は、Chrome 157が管理対象のエンドポイントに行き渡っていることと、従業員がブラウザを再起動して修正を有効にしたことの確認です。管理者はエンドポイント管理ツールを使い、古いバージョンのまま残っている端末を洗い出してください。あわせて更新の適用状況を確認し、配信から漏れた端末を調査する必要があります。

IT管理者は、管理対象の端末が修正済みバージョンを受信していることを確認し、古いリリースのまま稼働しているエンドポイントを特定してください。ブラウザを長時間開いたままにしている従業員には、Chromeを再起動して更新を完了するよう促す必要もあるでしょう。

特に注意が必要なのは、管理対象外の端末や、社内ネットワークに定期的に接続しない端末です。こうした端末では、更新状況の把握が難しくなる可能性があります。

Googleは、より多くのユーザーに修正が行き渡るまで、一部の技術的な詳細を公開していません。そのため、悪用経路に関して得られる情報は限られています。セキュリティチームにとっては、実際の攻撃の報告がなくても、迅速な展開と適用の確認がとりわけ重要です。

関連ニュースとして、 Googleの2026年11月のAndroidセキュリティアップデートでは216件の脆弱性が修正されました。そのなかには、ユーザーの操作なしにリモートコード実行を許す可能性のある深刻な脆弱性も含まれます。ユーザーや企業は、端末のセキュリティパッチレベルを確認してください。