Google Patches 151 Vulnerabilities in Chrome, Including 22 Critical Ones
2026/05/28 CyberSecurityNews — Google は Chrome Stable の大規模アップデートを公開し、コアとなるグラフィックス／ネットワーク／メディア／UI コンポーネントに影響を与える 22 件の Critical 脆弱性を含む、合計 151 件のセキュリティ脆弱性を修正した。 Stable チャネルは、Windows 向けの 148.0.7778.216／217、macOS 向けの 148.0.7778.215／216、Linux 向けの 148.0.7778.215 が提供されており、今後の数日から数週間にわたり詳細情報が段階的に展開される予定である。
Chromium ソース・ログにおいて、ビルド 148.0.7778.180 から 148.0.7778.217 に至るコード変更の完全な一覧が確認できる。Google は、攻撃者が未パッチ環境を標的とする悪用コードの作成リスクを低減するために、大多数のユーザーにパッチが配布されるまで詳細な情報の公開を制限している。
Google は、開発サイクル中に一連の問題を発見した社内チームおよび外部のセキュリティ研究者に謝意を示した上で、Stable ブランチへ到達する前に、数多くのバグが発見されたと述べている。さらに同社は、メモリ破損や未定義動作を大規模に検出するため、サニタイザ／ファザー／Control Flow Integrity (CFI) を活用していることを改めて強調している。
Chrome における 151 件の脆弱性修正
151 件の脆弱性のうち 22 件は Critical と評価されており、その一部には高額なバグ・バウンティが支払われている。 外部から報告された代表的な問題としては、以下が含まれる。
- CVE-2026-9872：GPU プロセスにおける境界外書き込み
- CVE-2026-9873：Network における解放後メモリ使用
- CVE-2026-9874：Dawn における解放後メモリ使用
- CVE-2026-9875：WebGL における境界外読み取り
これらの脆弱性に対しては、最大で 43,000 USD の報奨金が支払われている。
ユーザーを悪意のページへ誘導した攻撃者は、これらの脆弱性を介してサンドボックス・エスケープ／リモート・コード実行／データ破壊を引き起こす可能性がある。
なお、Critical 修正の大半は、Google の内部チームにより発見されたものであり、ANGLE／Skia／WebGL／Dawn／XR／Bluetooth／UI／ブラウザ基盤など、グラフィックスおよびレンダリング・スタックに集中している。
具体的には、解放後メモリ使用 (use-after-free)／ヒープバッファ・オーバーフロー／整数オーバーフロー／信頼できない入力に対する検証不足などが生じている。それらは、現代のブラウザにおけるエクスプロイト構築の典型的な要素となっている。
深刻度 Critical の脆弱性以外にも、Google は DOM／Accessibility／Site Isolation／WebCodecs／PDF／PDFium／WebRTC／Passwords／WebAppInstalls／Media／USB など広範な領域で、深刻度 High の脆弱性を修正した。
さらに、複数の解放後メモリ使用／境界外読み取りおよび書き込み／レース・コンディション／未初期化メモリ使用の脆弱性も発見された。その多くは社内で発見されたものであるが、Mozilla／Microsoft／OpenAI の研究者による報告も含まれている。
また、深刻度 Medium の脆弱性には、ANGLE／Skia／USB／V8／Headless などのコンポーネントにおける追加の整数オーバーフローや入力検証不足が含まれている。
| CVE ID | Component | Bug type | Reporter | Reward |
|---|---|---|---|---|
| CVE-2026-9872 | GPU | Out of bounds write | cinzinga | 43,000 USD |
| CVE-2026-9873 | Network | Use after free | cinzinga | 43,000 USD |
| CVE-2026-9874 | Dawn | Use after free | Anonymous | 11,000 USD |
| CVE-2026-9875 | WebGL | Out of bounds read | Anonymous | 5,000 USD |
| CVE-2026-9876 | WebGL | Use after free | happy2me | TBD |
| CVE-2026-9877 | ANGLE | Use after free | N/A | |
| CVE-2026-9878 | ANGLE | Use after free | N/A | |
| CVE-2026-9879 | ANGLE | Out of bounds write | N/A | |
| CVE-2026-9880 | WebGL | Insufficient validation of untrusted input | N/A | |
| CVE-2026-9881 | Bluetooth | Use after free | N/A | |
| CVE-2026-9882 | ANGLE | Integer overflow | N/A | |
| CVE-2026-9883 | Base | Use after free | N/A | |
| CVE-2026-9884 | Browser | Use after free | N/A | |
| CVE-2026-9885 | UI | Insufficient validation of untrusted input | N/A | |
| CVE-2026-9886 | Base | Use after free | N/A | |
| CVE-2026-9887 | Proxy | Use after free | N/A | |
| CVE-2026-9888 | WebView | Use after free | N/A | |
| CVE-2026-9889 | Dawn | Out of bounds read and write | N/A | |
| CVE-2026-9890 | XR | Use after free | N/A | |
| CVE-2026-9891 | Extensions | Use after free | N/A | |
| CVE-2026-9892 | Skia | Inappropriate implementation | N/A | |
| CVE-2026-9893 | Skia | Use after free | N/A |
Google は、これらのバグの多くが AddressSanitizer／MemorySanitizer／UndefinedBehaviorSanitizer／Control Flow Integrity／libFuzzer／AFL により発見されたと説明している。一連の自動化テストが、ブラウザの攻撃対象領域の縮小に重要な役割を果たしていることを示している。
なお、今回の脆弱性が、広く利用されているサードパーティ製ライブラリに影響を及ぼす場合や、当該ライブラリが修正を公開していない場合においては、一部の詳細情報を引き続き非公開にするとしている。
企業のセキュリティ担当者および一般ユーザーに対して強く推奨されるのは、利用しているプラットフォーム向けの最新 148.0.7778.x Stable ビルドへと、速やかにアップグレードすることである。パッチへの早期アクセスが必要な場合には、より迅速なリリース・チャネルへの移行も検討すべきである。
Google は、新たな問題を発見したユーザーに対し、公開バグ・トラッカーを通じて報告することを推奨している。また、アップデートや展開に関する支援については、Chrome コミュニティ・ヘルプ・フォーラムの利用を案内している。
訳者後書：今回の多くの脆弱性は、グラフィックスやレンダリングを処理するプログラムに原因が集中しています。具体的には、メモリの解放後の領域に対する使用や、用意された領域を超えたデータの読み書き、入力されたデータに対するチェック不足などの問題が発生しています。代表的なものとして、GPU プロセスでの境界外書き込みである CVE-2026-9872 や、ネットワークでの解放後メモリ使用である CVE-2026-9873 などが挙げられます。ご利用のチームは、ご注意ください。よろしければ、Chrome での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.