Google Chrome、83件のセキュリティ脆弱性を修正　重大なUse-After-Free脆弱性5件を含む

Googleは、Chromeデスクトップ版のセキュリティアップデートを公開しました。ServiceWorker、CSS、Layout、Skia、Accessibilityに影響する重大なUse-After-Free（解放後使用）の脆弱性5件を含む、計83件の脆弱性を修正しています。

2026年11月11日に公開されたこのリリースにより、WindowsとmacOSはバージョン157.0.8103.78/.79に、Linuxは157.0.8103.78に更新されます。GoogleのStable Channelに関するアドバイザリによると、今後数日から数週間かけて順次アップデートを配信する予定です。

今回のアップデートは、悪用が確認されたXMLの脆弱性に対処した先日のChromeセキュリティリリースに続くものです。ただし、今回参照したアドバイザリには、新たに公表されたこれらの脆弱性を攻撃者が悪用しているとの記載はありません。

クラウドセキュリティソリューション

この点は重要です。重大度が「Critical」であることは大きな潜在的影響を示しますが、それだけでは、これらの脆弱性に関する実際の悪用、公開されたエクスプロイト、あるいは侵害の確認を意味するものではありません。

Chromeのセキュリティ脆弱性

5件の重大な脆弱性は、いずれも同じ種類に分類されます。Xinyang Ge氏が、ServiceWorkerのCVE-2026-126885、CSSのCVE-2026-126895、LayoutのCVE-2026-126879を報告しました。

SkiaのCVE-2026-126846はGoogle自身が報告し、AccessibilityのCVE-2026-126911はAndrew Boni氏が報告しています。参照したアドバイザリによると、これらの報告日は10月2日から11月2日までにわたります。

Use-After-Free脆弱性は、ソフトウェアがオブジェクトを解放した後に、そのメモリへアクセスしてしまうことで発生します。悪用のしやすさや既存の緩和策によって異なりますが、その結果生じるメモリ破壊により、クラッシュや情報漏えいが起きたり、コード実行につながったりする可能性があります。

同様の弱点は、重大なUse-After-Free脆弱性を修正した以前のChromeアップデートにも見られました。ブラウザのオブジェクトの生存期間を安全に管理することが、繰り返し課題になっていることがわかります。

重大な脆弱性以外にも、参照した公開情報には、V8、ANGLE、Skia、Extensions、Media、FileSystemなどのコンポーネントにわたる重要度「High」の脆弱性が並んでいます。

具体例としては、報奨金4,000ドルが支払われたV8のUse-After-FreeであるCVE-2026-126864、Networkの境界外書き込みであるCVE-2026-126840、SiteIsolationの不適切な認可であるCVE-2026-126850などがあります。これらの脆弱性は、メモリ安全性、情報露出、アクセス制御の不備にまたがっています。

V8の修正には、型の取り違え（Type Confusion）、整数オーバーフロー、認可の欠如、クリーンアップの不備も含まれます。実際に悪用されたV8の脆弱性に関する過去の報道からも、JavaScriptエンジンの欠陥が厳しく注視される理由がわかります。

脆弱性診断サービス

ただし、今回のリリースで悪用が確認されたとの記載はありません。参照したクレジットによると、報告者にはClaudeの支援を受けたAnthropicの研究者やOpenAI Codex Securityのほか、独立系の研究者が含まれています。

Googleによると、バグの詳細レポートは、大多数のユーザーに修正が行き渡るまで閲覧が制限される場合があります。パッチ未適用のサードパーティ製ライブラリに影響する脆弱性では、制限がさらに続くこともあります。

このため、脆弱性がどのような条件で発動するのか、攻撃に何が必要なのかは、現時点では把握しにくい状況です。したがって今回の公表は、修正の優先対応を後押しするものです。ただし、掲載されたすべての脆弱性がリモートコード実行を可能にする、あるいはChromeのサンドボックスを回避できると断定するものではありません。

ユーザーは、ChromeのヘルプメニューからGoogle Chromeについてを選択し、アップデートのダウンロードを待ってからブラウザを再起動してください。管理者は、自動更新が完了したと決めつけず、展開済みのバージョンを確認する必要があります。

37件の脆弱性を修正した以前のChromeアップデートのときと同様、組織は管理下のエンドポイントへのパッチ適用を優先し、Windows、macOS、Linuxの各システムが該当するリリース番号になっているかを確認してください。

CVEの詳細

最新の脅威に関するアラートのコンテキストをSOCに提供し、インシデントに迅速に対処 -> 1万6,000のSOCが利用する脅威インテリジェンスを導入: