Google Chrome Update Fixes 12 Vulnerabilities That Could Enable Browser Attacks
2026/07/21 CyberSecurityNews — Google が公開したのは、Chrome に存在する深刻度 High と評価された 12 件のセキュリティ脆弱性の修正に関する情報と、Stable チャンネルでのアップデートのリリースである。このアップデートにより、Chrome の Windows／Mac 版はバージョン 150.0.7871.181／.182 に、Linux 版はバージョン 150.0.7871.181 に更新された。今後の数日から数週間のうちに、すべてのユーザーへの配信が完了する見込みである。
修正された脆弱性の一部を悪用する攻撃者は、メモリ破損の誘発／任意コードの実行／セキュリティ検証のバイパスを可能にする恐れがあるため、このアップデートは個人／企業ユーザーの双方にとって優先的に適用すべきパッチとなる。
Chrome アップグレードによる 12 件の脆弱性の修正
今回のアップデートでは、V8／ANGLE／Skia／GPU／UI／エクステンション／Chromecast などの、Chrome の複数のコンポーネントにまたがる脆弱性が対処されている。
主な修正には以下が含まれる。
| CVE ID | Severity | Vulnerability Type | Component | Reported By | Date Reported |
|---|---|---|---|---|---|
| CVE-2026-16413 | High | Out of bounds write | ANGLE | 2026-05-28 | |
| CVE-2026-16414 | High | Insufficient validation of untrusted input | Chromecast | 2026-05-28 | |
| CVE-2026-16415 | High | Insufficient validation of untrusted input | Extensions | 2026-06-02 | |
| CVE-2026-16416 | High | Integer overflow | Chromecast | 2026-06-05 | |
| CVE-2026-16417 | High | Uninitialized use | Skia | 2026-06-08 | |
| CVE-2026-16418 | High | Stack buffer overflow | V8 | 2026-06-10 | |
| CVE-2026-16419 | High | Out of bounds read and write | ANGLE | 2026-06-13 | |
| CVE-2026-16420 | High | Type Confusion | WebAudio | XBOW (triaged by Brendan Dolan-Gavitt) | 2026-06-26 |
| CVE-2026-16421 | High | Inappropriate implementation | WebAudio | XBOW (triaged by Brendan Dolan-Gavitt) | 2026-06-26 |
| CVE-2026-16422 | High | Insufficient validation of untrusted input | Certificate | 2026-07-10 | |
| CVE-2026-16423 | High | Use after free | UI | 2026-07-14 | |
| CVE-2026-16424 | High | Use after free | GPU | 2026-07-14 |
これらのバグのうち、CVE-2026-16420／CVE-2026-16421 は、自律型 AI セキュリティ研究システムである XBOW により発見された。研究者 Brendan Dolan-Gavitt によりトリアージが実施されたものであり、それぞれに対して $500 の報奨金が支払われた。一方、残りの 10 件の脆弱性は、2026年5月下旬から 7月中旬にかけて、Google のセキュリティ・チームが内部で特定したものだ。
Chrome のメモリ管理に影響を与える、タイプ・コンフュージョン／解放済みメモリの使用／バッファ・オーバーフローに関連する脆弱性は特に危険なものである。それらの悪用に成功した攻撃者は、侵害済みまたは悪意の Web ページへと被害者を誘導するだけで、悪意のコード実行／ブラウザのクラッシュ／システムリソースへの不正アクセスを引き起こす可能性がある。
中でも、V8 のスタックバッファ・オーバーフローの脆弱性 CVE-2026-16418 および、GPU／UI の解放済みメモリ使用の脆弱性 CVE-2026-16423／CVE-2026-16424 は、実際のブラウザ・エクスプロイト・チェーンで標的とされるコアレンダリングと JavaScript 実行のコンポーネントに関わることから、特にリスクが高い問題と見なされている。
一連のバグ検出に成功したのは、AddressSanitizer／MemorySanitizer／UndefinedBehaviorSanitizer／Control Flow Integrity／libFuzzer／AFL などの自動化ツールによるものと、Google は評価している。これらのツールにより、メモリ安全性の問題が Stable チャンネルに到達する前に検出されたが、Chrome の多層的なアプローチによる、脆弱性の発見しやすさも指摘されるべきだ。
Google は、いくつかの問題について、詳細なバグレポートやリンクを公開していない。これは、大多数のユーザーが修正済みバージョンへ更新するまでの間に、また、共有されているサードパーティ製ライブラリの修正が未完了である間に実施される、同社の標準的な対応である。
対応策
今回のリリースには深刻な脆弱性の修正が多数含まれているため、ユーザーは自動更新を待つのではなく、直ちに Chrome を更新する必要がある。手動で更新するには、以下の手順を実行する。
- Chrome を開き、右上隅にある三点メニューをクリックする。
- Help > About Google Chrome (ヘルプ > Google Chrome について) へ移動する。
- Chrome に更新確認を実行させ、最新バージョンを自動的にインストールする。
- ブラウザを再起動して更新を適用する。
複数のエンドポイントにおいて、Chrome の展開を管理している企業は、高度な攻撃において連鎖的に悪用される可能性がある、複数の深刻なメモリ破損の脆弱性が存在することを踏まえ、デバイス管理システムを通じて、今回のアップデート配信を優先すべきである。
訳者後書：今回の一連の問題は、Chrome の各コンポーネントにおけるメモリ管理の不備や、不適切な入力検証が原因となって発生しています。具体的には、JavaScript エンジン V8 におけるスタックバッファ・オーバーフローの CVE-2026-16418 や、GPU や UI における解放済みメモリへの不適切なアクセス CVE-2026-16423／CVE-2026-16424、ANGLE コンポーネントにおける領域外読み書き CVE-2026-16413／CVE-2026-16419 などが原因となっています。また、外部データの検証不足 CVE-2026-16414 やタイプ・コンフュージョン CVE-2026-16420 は、プログラムが想定外のメモリやデータを安全に処理できなかったことに起因します。ご利用のチームは、ご注意ください。よろしければ、Chrome での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.