デスクトップ版Chromeのセキュリティ修正を呼びかけ
インドのコンピューター緊急対応チーム（CERT-In）は2026年10月14日、Google Chromeの脆弱性について警告した。攻撃者が悪意あるコードを実行したり、機密情報を入手したり、影響を受けたコンピューターの動作を妨げたりする恐れがある。Googleは前日の13日、深刻度が「クリティカル」と評価された7件を含む37件の脆弱性を修正する更新を公開した。
目次
影響を受けるのは、Linuxではバージョン155.0.8059.79より前、WindowsとmacOSでは155.0.8059.79/.80より前のChrome。利用者はChromeの「Google Chromeについて」ページを開いて更新を確認し、再起動を求められたらブラウザーを再起動してインストールを完了する必要がある。
Googleが10月13日付で公開したデスクトップ版のリリース告知によると、修正対象はクリティカルが7件、高が29件、中が1件。脆弱性はグラフィックス、文書、ネットワーク、パスワード、ウェブサイトの処理に使われるソフトウェアなど、幅広い機能に及ぶ。
Googleによると、更新の配信には数日から数週間かかる。すぐに確認して更新が表示されなくても、配信が広がった後に再度確認する必要がある場合がある。
更新が必要なバージョン
CERT-Inの警告は、Windows、macOS、Linux向けのデスクトップ版Chromeを対象としている。香港コンピューター緊急対応チーム調整センター（HKCERT）も同じバージョンを影響対象として挙げ、提供元の修正を適用するよう推奨している。
- Linux：Chrome 155.0.8059.79以降をインストール。
- Windows：Chrome 155.0.8059.79/.80以降をインストール。
- macOS：Chrome 155.0.8059.79/.80以降をインストール。
修正はブラウザーの更新を通じて提供されるため、バージョン番号の確認が重要だ。脆弱性を含むバージョンでも、ウェブサイトは通常どおり開ける場合がある。家庭では各コンピューターで更新を確認することが当面の対応となる。組織では、どの端末に更新が届き、必要な再起動が完了したかを把握する必要がある。
Chromeのバージョンは、ブラウザー右上の3点メニューから「ヘルプ」、次に「Google Chromeについて」を選ぶと確認できる。このページでは更新の有無も確認される。
ブラウザーの中核機能に影響する7件の深刻な脆弱性
Googleによると、CVE-2026-110152はChromeが使用するグラフィックスコンポーネント「ANGLE」の深刻なバッファーオーバーフローだ。バッファーとは、データを一時的に保存するために確保されたメモリー領域を指す。オーバーフローは、ソフトウェアがその領域の境界を越えて書き込みを行う状態で、近くのデータを破損させたり、攻撃者がプログラムの動作に干渉したりする可能性がある。
Googleのリリース告知によると、depthfirstのZhenpeng（Leo）Lin氏が9月30日にANGLEの脆弱性を報告した。想定される影響には、クラッシュや悪意あるコードの実行が含まれる。
残る6件のクリティカルな脆弱性は、いずれも解放後使用（use after free）エラーだ。Browser、PDF、Network、Core、SVG、Mediaの各コンポーネントに影響し、文書やグラフィックスの処理からネットワーク通信まで、幅広い機能に関わる。
解放後使用エラーは、ソフトウェアがメモリー領域を解放した後も、その領域を使い続けることで発生する。プログラムが、すでに別の用途に使われているかもしれない古い保存場所を、以前の内容が残っているかのように扱う状態だ。攻撃者が置き換わった内容に影響を与え、プログラムを妨害したり、別の動作に誘導したりする可能性がある。
Googleが挙げた6件の識別番号は、CVE-2026-110149、CVE-2026-110136、CVE-2026-110161、CVE-2026-110165、CVE-2026-110148、CVE-2026-110151。ANGLEの脆弱性と合わせて、今回修正された37件のうち7件、約5分の1を占める。
影響を受けたコンピューターで起こり得ること
CERT-Inは、脆弱性が悪用された場合、任意のコード実行、機密情報の漏えい、サービス妨害につながる恐れがあると警告している。簡単に言えば、攻撃者が選んだ命令を実行されたり、個人情報をさらされたり、ソフトウェアが正常に動かなくなったりする可能性がある。
同じく10月14日付のHKCERTのChromeセキュリティ情報は、権限昇格とセキュリティ制限の回避という、さらに2つの影響を挙げている。前者は通常許可されない権限を得ること、後者は保護のための規則を回避することを意味する。
HKCERTはこの情報のリスクを「中」と評価している一方、Googleは個々の脆弱性のうち7件をクリティカルとしている。両者は評価対象が異なり、HKCERTは情報全体に評価を付け、Googleは脆弱性ごとに深刻度を示している。HKCERTは修正の適用を推奨している。
HKCERTの情報にはCVE-2026-110136からCVE-2026-110172までが記載されており、この範囲に今回の37件すべてが含まれる。CVE番号は脆弱性を特定するための識別番号で、ソフトウェア開発者や管理者が、複数の警告や更新にまたがる同じ問題を追跡するのに使われる。
パスワード、JavaScript、文書処理にも影響
Googleが修正した深刻度「高」の29件には、ChromeのJavaScriptエンジン「V8」の問題が含まれる。JavaScriptは多くのウェブサイトに操作性を持たせるための命令を提供する。ブラウザーがその命令を処理する際に、エンジンの脆弱性が悪用される可能性がある。
V8に関する項目には、型の取り違え（type confusion）であるCVE-2026-110140と、解放後使用エラーであるCVE-2026-110168、CVE-2026-110169が含まれる。型の取り違えとは、ソフトウェアがあるデータを別の種類のものとして扱うことで、安全でないメモリー操作につながる恐れがある。
ChromeのPasswordsコンポーネントには、情報漏えい1件と解放後使用エラー2件の計3件の高深刻度の脆弱性がある。そのほか、Extensions、WebRTC、DOM、Canvas、PDFiumに関する修正も含まれる。これらのコンポーネントは、拡張機能、ブラウザー間の通信、ウェブページの構造、描画、PDF処理を支える。
Googleは、ReadingMode、Installer、Updater、Mojoに関する権限関連の脆弱性も挙げている。例えば認可エラーは、プログラムが操作の許可を正しく確認できているかに関わる。深刻度「中」の1件はFileSystemの解放後使用脆弱性で、識別番号はCVE-2026-110142。
この幅広い修正対象から、今回の更新が特定の閲覧操作だけでなく重要であることが分かる。Chromeはテキスト、スクリプト、グラフィックス、文書、ネットワークデータを処理しており、今回のリリースでは複数の処理経路にある脆弱性が修正された。
脆弱性の報告者
Googleのクレジットによると、AnthropicのXinyang Ge氏は9月28日、Claudeの支援を受けて、V8の高深刻度の脆弱性CVE-2026-110169を報告した。告知には研究者、組織、支援に関する記載があるが、Claudeの役割について詳しい説明はない。
Googleは、PDF、SVG、Mediaのクリティカルな脆弱性を含む複数の発見についてもXinyang Ge氏の功績を挙げている。Browser、Network、CoreのクリティカルなエラーはGoogle自身が報告した。ほかの報告者として、Hoyong Jin氏、M. Fauzan Wijaya氏、Aria Akhavan氏、Souma Ohsawa氏、Andrew Boni氏の名前が記載されている。
報告日は、数カ月にわたって見つかった脆弱性が今回のリリースにまとめられたことを示している。Googleの一覧には、3月25日に報告されたBindingsの脆弱性や、10月6日に報告されたMediaの新たな脆弱性も含まれる。これらは今回の安定版リリースでまとめて修正される。
一部の技術情報が制限される理由
Googleは、利用者に更新が行き渡るまで、一部の不具合記録へのアクセスを制限する場合があるとしている。Google Chromeのリリース告知を公開したSrinivas Sista氏は、同社の情報開示方針について次のように説明した。
大多数の利用者に修正が行き渡るまで、脆弱性の詳細やリンクへのアクセスを制限する場合があります
また、他のプロジェクトでも使われているライブラリーに脆弱性があり、そのプロジェクト側でまだ修正されていない場合も、制限が続くことがあるという。ライブラリーは再利用可能なソフトウェア部品のため、同じ根本的なエラーへの対応に複数の開発チームが関わることがある。
リリース告知は影響を受けるコンポーネントとエラーの種類を示す一方、より詳細な技術記録の一部へのアクセスを制限している。利用者にとって実用的な情報は、修正を含むバージョンだ。管理者は識別番号を使って、今回のリリースを脆弱性管理やソフトウェア台帳と照合できる。
研究報告から公的な警告まで
主な日付をたどると、個別の脆弱性の発見がブラウザー更新となり、その後、公的なセキュリティ警告につながった経緯が分かる。
- 2026年9月28日：AnthropicのXinyang Ge氏が、Claudeの支援を受けてV8のCVE-2026-110169を報告。
- 9月30日：depthfirstのZhenpeng（Leo）Lin氏が、ANGLEの深刻なバッファーオーバーフローを報告。
- 10月1〜6日：Googleとほかの研究者が、今回のリリースに含まれる複数のクリティカルおよび高深刻度の脆弱性を報告。
- 10月13日：Googleが37件のセキュリティ修正を含むChrome安定版の更新を発表。
- 10月14日：CERT-Inが警告を発し、HKCERTも同じ37件の識別番号を網羅した情報を公開。
Googleのリリース日は、配信開始日を示す。同社が配信に数日から数週間かかるとしているため、発表後も更新は順次届く。最初の確認で更新が表示されなかったコンピューターでは、後日あらためて確認するとよい。
更新を完了する方法
Chromeの更新は、ブラウザー内の画面から確認できる。手順は次の通り。
- Chromeを開き、右上の3点メニューを選択する。
- 「ヘルプ」、次に「Google Chromeについて」を選ぶ。
- Chromeが更新を確認し、利用可能な更新をダウンロードするのを待つ。
- 未保存の作業を保存し、表示されたら「再起動」を選ぶ。
- 「Google Chromeについて」のページに戻り、インストール済みのバージョンを確認する。
更新のダウンロードと、更新されたブラウザーの起動は別の手順となるため、再起動が重要だ。古いブラウザーのセッションを開いたままにすると、インストールの完了が遅れる場合がある。
組織では、利用者がブラウザーをほとんど閉じない端末も含め、デスクトップコンピューターのインストール済みバージョンを確認する必要がある。修正を含むリリースが適用され、必要な再起動も完了していることを確認するのが具体的な目標となる。
更新がまだ表示されない利用者は、Googleの配信期間中に再度確認するとよい。公式告知では配信に数日から数週間かかるとしており、発表日にすべてのコンピューターへ届くとは限らない。
Edge利用者も修正情報の確認を
Microsoft Edgeは、Chromeの基盤でもあるブラウザープラットフォーム「Chromium」を採用している。そのため、共通ソフトウェアの脆弱性については、Edgeでも修正が必要になる場合がある。
Microsoftは10月13日付のセキュリティ情報で、最新のChromiumセキュリティ修正を確認したと発表し、更新に取り組んでいるとした。警告が出された時点では、対応する安定版チャンネルのセキュリティ更新はまだ公開されておらず、Microsoftは公開日を示していなかった。
Edge利用者は、Microsoftの更新が利用可能になったら確認する必要がある。両方のブラウザーを使っている場合は、それぞれを確認しなければならない。Chromeのセキュリティ更新はGoogleから、Edgeの更新はMicrosoftから提供される。
要点
- CERT-Inは2026年10月14日、デスクトップ版Chromeの利用者に対し、情報漏えい、ソフトウェアの動作妨害、悪意あるコードの実行につながる恐れのある脆弱性について警告した。
- Googleが10月13日に公開した更新では、クリティカル7件、高29件、中1件の計37件を修正。
- 修正済みバージョンはLinuxが155.0.8059.79、WindowsとmacOSが155.0.8059.79/.80。これ以降のバージョンも対象。
- 「ヘルプ」から「Google Chromeについて」を開いて更新を確認し、適用後に再起動するよう利用者に呼びかけている。
- Googleによると配信には数日から数週間かかる。Microsoftは、対応するEdge安定版の更新日をまだ発表していなかった。
