Googleは高深刻度のChromeゼロデイの修正パッチを発表しました。CVE-2026-2441として追跡されているこの脆弱性は、ブラウザが特定のフォント機能を処理する方法のメモリバグで、攻撃者がすでに悪用しています。
CVE-2026-2441は2026年最初のChromeゼロデイという不名誉な称号を持っています。Googleはこれを深刻と判断し、次のメジャーリリースを待たずに安定版チャネルの個別更新を発行しました。
Chromeの更新方法
最新のバージョン番号はWindows および macOS で145.0.7632.75/76、Linux では145.0.7632.75です。したがって、Chromeが145.0.7632.75以降のバージョンであれば、これらの脆弱性から保護されています。
最も簡単な更新方法は、Chromeを自動的に更新するようにすることです。ただし、ブラウザを閉じない場合や拡張機能が更新を妨げるなど、何か問題が発生した場合は、更新が遅れることがあります。
手動で更新するには、その他メニュー（3つの点）をクリックし、設定＞Chromeについてに移動してください。アップデートが利用可能な場合、Chromeはそのダウンロードを開始します。Chromeを再起動して更新を完了すると、これらの脆弱性から保護されます。
また、すべてのオペレーティングシステムでChromeを更新する方法に関するガイドにステップバイステップの手順も記載されています。
技術的詳細
Googleは積極的な悪用を確認していますが、誰がターゲットにされているのか、頻度はどのくらいか、詳細なインジケーターはまだ公開していません。
しかし、わかっていることから情報を導き出すことができます。
この脆弱性は、ChromeのCSSフォント機能処理（CSSFontFeatureValuesMap）のユースアフターフリーの問題で、これはWebサイトがテキストを表示およびスタイルする方法の一部です。より具体的には、根本原因はイテレーター無効化バグです。Chromeはフォント機能値のセットをループしながら同時にそのセットを変更していたため、ループが古いデータを指したままになり、攻撃者がこれをコード実行に変えることができました。
ユースアフターフリー（UAF）は、プログラムが解放された後にメモリロケーションにアクセスしようとするソフトウェア脆弱性の一種です。これはクラッシュにつながったり、場合によっては攻撃者が独自のコードを実行できるようになったりします。
CVEレコードによると、「145.0.7632.75より前のGoogle Chromeの CSSでユースアフターフリーが発生し、リモート攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できます」と述べられています（Chromium セキュリティ深刻度：高）。
これは攻撃者が特別なWebサイトまたは他のHTMLコンテンツを作成でき、これがChrome ブラウザーのサンドボックス内でコードを実行できることを意味します。
Chromeのサンドボックスは、各Webサイトタブかぎりのセキュアボックスのようなものです。タブ内の何かが不正にされても、それは限定され、システムの残りの部分に干渉できないようにすべきです。Webサイトコードがファイル、デバイス、その他のアプリに関して何にアクセスできるかを制限するため、ブラウザバグが理想的には、攻撃者にマシン全体の制御ではなく、その限定的な環境への足がかりのみを与えます。
サンドボックス内で任意のコードを実行することはまだ危険です。攻撃者は実質的にそのブラウザタブになるからです。彼らはタブがアクセスできるものを見たり変更したりできます。オペレーティングシステムへのエスケープなしでも、これはアカウントを盗んだり、クラウドサービスにバックドアを設置したり、機密トラフィックをリダイレクトするのに十分です。
サンドボックスを逃れることができる脆弱性と連鎖した場合、攻撃者は横方向に移動し、マルウェアをインストールしたり、他の完全なシステム侵害の場合と同様にファイルを暗号化したりできます。
安全を保つ方法
この脆弱性を悪用する攻撃から情報を保護するには、できるだけ早く更新することを強くお勧めします。ゼロデイがパッチされる前でも、被害者になることを避けるためのいくつかのヒントを以下に示します。
- メール、メッセージ、未知のWebサイト、またはソーシャルメディアからの未承諾リンクをクリックしないでください。
- 自動更新を有効にして定期的に再起動してください。多くのユーザーはブラウザーを数日間開いたままにしておくため、バックグラウンドで更新がダウンロードされていても保護が遅れます。
- Webの保護コンポーネントを含む最新の実マルウェア対策ソリューションを使用してください。
他のChromiumベースのブラウザーのユーザーは同様の更新を期待できます。
