Google Chrome 150 のアップデート：Codecs／WebMCP／Blink などに影響する 4 件の脆弱性を修正

Google Chrome 150 Update Fixes Four High-Severity Security Vulnerabilities

2026/07/24 gbhackers — Google が公表した Chrome セキュリティ・アップデートにより、Codecs／WebMCP／Blink／Input などのブラウザのコアコンポーネントに影響を与える 4 件の深刻な脆弱性が修正された。すでに Stable チャンネルでは、Windows／macOS 向けのバージョン 150.0.7871.186／.187 と、Linux 向けのバージョン 150.0.7871.186 が提供されている。Google は、これらの脆弱性が実際に悪用されていることを示す証拠は報告していない。また、大多数の Chrome ユーザーがアップデートを受け取るまで、技術的なバグレポートおよび関連情報の公開を制限している。それは、パッチが広く適用される前に脆弱性が悪用されるリスクを低減するための標準的な措置である。

Google Chrome 150 更新

最も深刻な脆弱性 CVE-2026-16807 は、Chrome の Codecs コンポーネントにおける境界外書き込みの欠陥であり、Google 社内で 2026年5月30日に報告されたものだ。この境界外書き込みのバグは、ソフトウェアがメモリバッファの範囲を超えてデータを書き込む際に発生するものである。ブラウザ環境における、この種のメモリ破損の問題は、アプリケーションの不安定化を招くほか、特定の条件下では、ブラウザ・プロセス内でのコード実行を許す恐れがある。

今回のリリースでは、3 件の解放済みメモリ使用 (Use-After-Free) の脆弱性も修正されている。1つ目の CVE-2026-16806 は WebMCP に影響を与える脆弱性であり、2026年6月10日に Google により報告された。2つ目の CVE-2026-16805 は、ブラウザのレンダリングエンジン Blink における解放済みメモリ使用の脆弱性であり、6月12日に報告された。3つ目の CVE-2026-16804 は、Input コンポーネントに影響を与える脆弱性として 6月16日に報告された。

解放後メモリ使用の脆弱性は、ソフトウェアが解放後のメモリへアクセスし続けることで発生し、プログラム動作の操作やメモリ破損を、攻撃者に許す可能性がある。

Blink コンポーネントは Web コンテンツを処理し、Web ページ／スクリプト／ブラウザのレンダリング機能間の相互作用を管理しているため、この脆弱性により深刻な影響が生じる可能性がある。その一方で、メディアコーデックや入力処理機能の脆弱性は、悪意を持って細工された Web コンテンツにより発生する可能性があるが、具体的なコードパスや条件により悪用の可能性は変化する。

現時点で Google は、特定された 4 件の脆弱性について、攻撃ベクター／PoC の詳細／悪用可能性の条件などを開示していない。

Google のアドバイザリに外部研究者への報奨金の記載がないことから、これらの脆弱性は社内で発見されたものと推測される。Google は、自社のセキュリティ・エンジニアリングの取り組みに加え、AddressSanitizer／MemorySanitizer／UndefinedBehaviorSanitizer／Control Flow Integrity／libFuzzer／AFL などの自動テスト技術が脆弱性の発見に貢献したとしている。これらのツールは、Chrome の開発およびテスト中に、安全でないメモリ操作／未定義の挙動／コードフロー上の弱点を検出するのに役立っている。

パッチ適用の際には、Chrome メニューから Help を選択し、続いて About Google Chrome を選択することで、インストール済みの Chrome バージョンを確認できる。この操作により更新チェックが実行され、必要に応じてブラウザの再起動が促される。

エンタープライズにおいては、機密データを扱うシステムや高リスク環境で稼働するシステムに対して、管理された更新ポリシーを通じた更新プログラムの展開を優先すべきである。また、ダウンロード済みのパッチはブラウザを再起動するまで有効化されないため、更新プログラムのダウンロード後に Chrome を再起動する必要がある。

Chrome バージョン 150.0.7871.186／.187 に関する Google の完全な変更履歴は、Chromium ソース・リポジトリから確認できる。パッチの普及が進んだ後に、脆弱性の詳細が公開される可能性がある。さらなる技術情報を確認するには、Chrome のセキュリティ・アドバイザリおよび CVE レコードを監視することが推奨される。

訳者後書：今回の Chrome のアップデートでは、主にメモリ管理に関する重大な問題が修正されました。原因の中心となっているのは、境界外書き込みの脆弱性 CVE-2026-16807 と、解放済みメモリ使用 (Use-After-Free) の脆弱性 CVE-2026-16806／CVE-2026-16805／CVE-2026-16804 です。前者はプログラムが割り当てられた領域を超えてデータを書き込んでしまうバグであり、後者は解放済みのメモリ領域へ誤ってアクセスし続けてしまうバグです。これらにより、ブラウザの不安定化や、悪意の Web コンテンツを介した不正なコード実行につながる恐れがあります。ご利用のチームは、ご注意ください。よろしければ、Chrome での検索結果も、ご参照ください。