Chrome／Chromium のゼロデイ脆弱性 CVE-2025-6558 が FIX：積極的な悪用は APT の仕業？

Urgent: Google Releases Critical Chrome Update for CVE-2025-6558 Exploit Active in the Wild

2025/07/16 TheHackerNews — 2025年7月15日 (火) に Google が発表したのは、Chrome Web ブラウザに存在する、６件のセキュリティ問題に対する修正であり、そのうち１件は既に悪用されていると述べている。この、深刻度の高い脆弱性は CVE-2025-6558 (CVSS：8.8) は、ANGLE／GPU コンポーネントにおける、信頼できない入力への不十分な検証に分類されるものだ。

NIST の National Vulnerability Database (NVD) には、「この Google Chromeの 138.0.7204.157 未満に存在する脆弱性は、ANGLE と GPU における信頼できない入力への不十分な検証に起因する。この欠陥を突くリモートの攻撃者は、細工した HTML ページを介して、サンドボックス脱出の可能性を得る」と記されている。

ANGLE とは、”Almost Native Graphics Layer Engine” のことであり、Chrome のレンダリング・エンジンとデバイス固有のグラフィック・ドライバ間の変換レイヤーとして機能する。このモジュールの脆弱性を悪用する攻撃者は、通常ではブラウザが隔離している、低レベルの GPU 操作を介して、Chrome のサンドボックスの回避を達成し、システムへのより深いアクセスを可能にする。この攻撃ベクターの悪用は稀ではあるが、強力な侵害の経路になり得るものだ。

大半のユーザーにとって、この種のサンドボックス・エスケープが意味するのは、悪意のサイトにアクセスするだけでブラウザ・セキュリティが突破され、基盤となるシステムへの侵害にいたるシナリオである。

つまり、ダウンロードやクリックを必要とすることなく、Web ページを開くだけでサイレント侵害を引き起こすため、標的型の攻撃での悪用が多いとされる。

2025年6月23日に、Google TAG (Threat Analysis Group) の Clement Lecigne と Vlad Stolyarov が、このゼロデイ脆弱性を報告した。

Google は、「この脆弱性 CVE-2025-6558 の悪用について、詳細は明らかにできないが、実際の攻撃が存在する」と述べている。なお、TAG による発見が示唆するのは、国家による関与の可能性である。そこに、この脅威分析グループのミッションがある。

つい先日の 2025年6月25日にも、Chrome の別のゼロデイ脆弱性CVE-2025-6554 (CVSS：8.1) が報告されていたが、この件も Clement Lecigne により発見されたものである。そこから２週間後に、今回の CVE-2025-6558 が報告されたことになる。

ゼロデイ脆弱性として、CVE-2025-2783／CVE-2025-4664／CVE-2025-5419／CVE-2025-6554 を発見／報告してきたが、それらは実際の悪用の確認もしくは、PoC エクスプロイトの公開が確認されたものであり、今回の CVE-2025-6558 で５件目となる。

潜在的な脅威から身を守るために推奨されるのは、Windows／Apple macOS 用の Chrome 138.0.7204.157／.158 へのアップデートおよび、Linux 用の 138.0.7204.157 へのアップデートである。使用中のバージョンを確認するには、More > Help > About Google Chrome へと移動し、Relaunch を選択する。

なお、Chromium ベースのブラウザである Microsoft Edge／Brave／Opera／Vivaldi などのユーザーにも、修正プログラムがリリースされ次第、パッチの適用が推奨される。

今回の問題は、GPU サンドボックス・エスケープや shader／WebGL 関連のバグとして、カテゴリ分類されることが多く、必ずしも注目を集めるものではない。ただし、連鎖的なエクスプロイトや標的型攻撃で、表面化する傾向があるものだ。したがって、Chrome のセキュリティ・アップデートを定期的に確認し、グラフィック・ドライバの欠陥／権限境界のバイパス／レンダリング・パスなどによるメモリ破損にも注意を払うべきだ。

Google Chrome に、新たなゼロデイ脆弱性 CVE-2025-6558 が発見されました。すでに悪用も確認されており、サンドボックス・エスケープを介したシステム侵害の可能性が生じるとされています。なお、この脆弱性は Chromium ベースのものであるため、Edge／Brave／Opera／Vivaldi などにも影響が及ぶと、この記事は指摘しています。よろしければ、Chrome + Zero-Day で検索も、ご参照ください。