Microsoft Edge の脆弱性 CVE-2026-57992：Chromium エンジンに起因する RCE

Microsoft Edge Vulnerability Allows Remote Attacker to Execute Arbitrary Code

2026/07/06 CyberSecurityNews — Microsoft が公表したのは、Microsoft Edge (Chromium ベース) における新たなセキュリティ脆弱性に関する情報である。この脆弱性を悪用するリモートの攻撃者は、影響を受けるシステム上で任意のコード実行を可能にする。この脆弱性 CVE-2026-57992 は、Use-After-Free (UAF) によるメモリ破壊に起因し、CVSS スコアは 7.5 (High) と評価されている。この情報が公表された時点では、利用可能なパッチも、公開された PoC エクスプロイトも存在していない。

脆弱性 CVE-2026-57992 は、Microsoft Edge の Chromium エンジンに影響を及ぼす、深刻な Use-After-Free の欠陥に分類されている。この脆弱性を突く未認可の攻撃者は、特別に細工した Web ページをユーザーに閲覧させることで、ネットワークを介したコード実行を達成する。

この攻撃ベクターは、ネットワーク・ベースであるが、ユーザー操作を必要とし、攻撃の複雑性は高い。

攻撃の複雑性が高いという評価は、悪用の成功が容易ではないことを意味する。攻撃者は、悪意のページ上に悪意の不可視な form 要素を細工し、被害者に対して 2 回連続で tap 操作を行わす必要がある。その結果として、被害者は意図せず Edge の autofill 機能を起動し、メモリ破壊チェーンが発動する。

この悪用により、脅威アクターは Edge のレンダリング・エンジンで UAF 状態を引き起こすが、攻撃の成立は、特別に細工した Web サイトをホストする場合に限られる。

攻撃者は、ユーザーに悪意のコンテンツ閲覧を強制できないため、通常はソーシャル・エンジニアリングに依存する。すなわち、フィッシングメール／インスタントメッセージ／悪意のメール添付ファイルを通じて被害者を誘導し、攻撃者が制御するページへと向かわせる。

悪用を成功させるには、被害者が以下を行う必要がある。

  • 攻撃者が制御する Web ページを、被害者に閲覧させる。
  • autofill メカニズムを起動し、use-after-free 状態を引き起こす 2 回の tap 操作を実行させる。

この操作要件により、この攻撃は受動的なものとなる。また、被害者の関与なしには実行できないため、実環境におけるリスクは低下する。

影響を受けるバージョン
Microsoft Edge VersionDate ReleasedBased on Chromium Version
150.0.4078.4807/03/2026150.0.7871.47

脆弱性 CVE-2026-57992 の悪用に成功した攻撃者は、ブラウザ・プロセスのコンテキスト内で任意のコードを実行し、 システム全体の侵害を引き起こす可能性を得る。この攻撃経路は、攻撃者の目的に応じて、ラテラル・ムーブメント／データの漏洩／ペイロード展開の侵入口になり得る。

緩和策

現時点では公式パッチが利用できないため、組織／個人ユーザーは以下を実施すべきである。

  • Microsoft の Security Response Center (MSRC) を監視し、パッチ公開を確認する。
  • 不審なリンクや添付ファイルを避けるよう、ユーザーを教育する。
  • 可能な場合は、Enhanced Security Mode のようなブラウザ・セキュリティ機能を有効化する。
  • エンタープライズ環境では暫定的な緩和策として、autofill 機能を制限する。

訳者後書：Microsoft Edge (Chromium ベース) の自動入力機能において、データの参照タイミングに不整合が生じるメモリ管理の不具合が確認されました。この脆弱性 CVE-2026-57992 は、閲覧中の画面で特定の操作が重なった際に、すでに解放されたメモリ領域をブラウザが誤って読み込んでしまう Use-After-Free の欠陥に起因します。この隙を突かれると、細工された不審なサイトを閲覧した際に、最悪のシナリオとしてリモートからプログラムを不正に実行され、システム制御を奪取されるなどの深刻な影響を受ける恐れがあります。現時点では公式パッチの準備中であるため、安全のための対応策として、セキュリティ情報の更新を注視しながら、組織内での自動入力機能の一時的な制限や、不審なリンクへのアクセスを控える、防衛統制を徹底することが大切です。