Googleは、9件の脆弱性を修正するChromeのセキュリティアップデートを公開しました。その中には、実際の攻撃で悪用されている重要度「高」のXMLの脆弱性が含まれています。ゼロデイ脆弱性は「CVE-2026-125350」として追跡されており、Windows、macOS、Linuxのユーザーは今回のリリースを優先して適用する必要があります。Googleは2026年11月9日にこのアップデートを公開しました。
Cyber security news
修正済みのバージョンは、WindowsとMac向けが157.0.8103.50/.51、Linux向けが157.0.8103.50です。配信は今後数日から数週間かけて順次行われます。今回のリリースは、先に公開されたChrome 157のセキュリティアップデートに続くものです。ただし、今回の修正を受けるには、さらに新しいビルドをインストールする必要があります。
Chromeのゼロデイ脆弱性
GoogleのStable Channelに関するアドバイザリによると、CVE-2026-125350はXMLにおけるuse-after-free（解放後使用）の脆弱性で、課題番号は582442907です。匿名の研究者が2026年11月6日に報告しました。Googleは、この脆弱性を悪用するエクスプロイトが実際に出回っていると明言しています。一方で、攻撃者、標的、攻撃の手口、エクスプロイトの能力については明らかにしていません。
use-after-freeは、ソフトウェアがメモリを解放した後にそのメモリへアクセスすることで発生する欠陥です。悪用の条件によっては、クラッシュを引き起こしたり、コード実行につながったりする可能性があります。ただし、Googleは今回のXMLの脆弱性について、こうした影響を確認していません。Chromeのメモリ安全性に関する脆弱性を扱った過去の記事からも、この種のバグに注意が必要な理由がわかります。
7件の修正は重要度「高」と評価されています。悪用が確認されたゼロデイ脆弱性のほかに、Googleは次の脆弱性にパッチを適用しました。WebGLの未初期化リソースであるCVE-2026-125345（課題番号550525698、8月21日報告）、FileSystemの不適切な認可であるCVE-2026-125347（課題番号561996724、9月15日報告）、Compositingのバッファオーバーフローである CVE-2026-125343（課題番号561998123、同じく9月15日報告）です。この3件はいずれもGoogleが社内で発見しました。
社内で発見されたものには、ほかにも次の脆弱性があります。GPUの境界外書き込みであるCVE-2026-125348（課題番号563358700、9月18日報告）と、V8の型混乱であるCVE-2026-125344（課題番号568893995、10月2日報告）です。これらは過去のChromeブラウザのセキュリティ修正でも対象となったコンポーネントに関わるものですが、共通の悪用が確認されているわけではありません。
Cyber security news
重要度「高」の残る1件は、XMLの別のuse-after-freeであるCVE-2026-125346（課題番号572578603）です。Neonix SecurityのArni Hardarson氏が10月12日に報告しました。Googleは、このXMLの脆弱性については悪用を確認したとしていません。報奨金の額は未定です。
重要度「中」の2件は、GPUの未初期化リソースを修正するものです。1件目のCVE-2026-125349（課題番号536663516）は、Google自身が7月20日に報告しました。2件目のCVE-2026-125342（課題番号566384898）は、「ugvxb」として知られるVo Duc Thang氏が9月26日に報告しています。後者の報奨金は保留中で、そのほかの脆弱性では報奨金が「N/A」と記載されています。
ユーザーは、「ヘルプ」＞「Google Chromeについて」を開いて利用可能なアップデートをインストールし、ブラウザを再起動してください。管理者は、過去の悪用が確認されたChromeの脆弱性のときと同様に、管理下のデバイス全体で修正済みバージョンが適用されているかを確認してください。Googleは、大半のユーザーが更新を終えるまで、あるいはこれに依存するサードパーティのプロジェクトに修正が行き渡るまで、バグの詳細を非公開にする場合があります。
SOCにアラートのコンテキストを提供し、インシデントに迅速に対処しましょう。1万6,000のSOCの脅威インテリジェンスを統合。
翻訳元: https://gbhackers.com/google-chrome-zero-day-vulnerability-2/
