Google Fixes Two Critical Chrome Flaws in WebGL and Dawn — Update Your Browser
2026/08/19 CyberSecurityNews — Google が公表したのは、グラフィックス関連コンポーネントに影響を及ぼす緊急度が重大 (Critical) な 2 件の脆弱性を修正する、新たな Chrome 安定版チャネル向けアップデートである。このアップデートにより、Windows／macOS 向け Chrome はバージョン 151.0.7922.169／170 へ、Linux 向け Chrome はバージョン 151.0.7922.169 へ更新された。Google によると、今後の数日から数週間にわたり段階的にアップデートが展開されるため、ユーザーに求められるのは、自身のデバイス向けにアップデートが提供され次第、速やかにブラウザを更新することである。
2 件の深刻な問題は、CVE-2026-76034／CVE-2026-76036 として追跡されており、いずれもバッファ・オーバーフロー脆弱性である。これは、ソフトウェアが確保したメモリ領域の容量を超えてデータを書き込むことで発生するメモリ安全性の欠陥であり、特定の攻撃シナリオでは、ブラウザのクラッシュやデータ破損、任意のコード実行につながる可能性がある。
1 つ目の脆弱性 CVE-2026-76034 は、Web サイト内でインタラクティブな 2D／3D グラフィックスを描画する Chrome の WebGL 実装に影響を及ぼす。WebGL は、2D／3D 描画を多用するオンライン・ゲーム、ビジュアライゼーション、ブラウザ・ベースのデザイン・ツールなどの Web アプリケーションで広く使用されており、悪意のある Web サイトが特別に細工した WebGL コンテンツを介して、この脆弱性の悪用を試みる可能性がある。
2 つ目の脆弱性 CVE-2026-76036 は、Dawn に存在するバッファ・オーバーフローの欠陥である。Dawn は Chromium における WebGPU 標準の実装であり、Web アプリケーションからグラフィックス・ハードウェアへ向けた、直接的かつ効率的なアクセスを提供するためのグラフィックス API である。WebGPU および関連するグラフィックス・コンポーネントは Web コンテンツから複雑なデータを処理するため、これらのコンポーネントにおけるメモリ破損は、ブラウザ・セキュリティに深刻なリスクをもたらす可能性がある。
Google は、脆弱性 CVE-2026-76034 は 2026年7月15日に、CVE-2026-76036 は 2026年7月28日に、同社のセキュリティ・チームが報告したとしている。同社は技術的な詳細、概念実証コード、悪用に関する情報を公開していない。Google によると、大半の Chrome ユーザーが更新を適用するまでバグ・レポートへのアクセスを制限するのは、攻撃者が修正内容を逆解析して脆弱性を悪用する機会を減らすための措置である。
Chrome 151 安定版のリリースには、合計 15 件のセキュリティ関連の修正が含まれている。Google では、開発中にセキュリティ・バグを特定するため、AddressSanitizer／MemorySanitizer／UndefinedBehaviorSanitizer／Control Flow Integrity／libFuzzer／AFL などのメモリ・エラー検知技術およびファジング技術を使用しているという。
| CVE IDSeverityVulnerability typeAffected componentReporterIssue ID | |||||
|---|---|---|---|---|---|
| CVE-2026-76034 | Critical | Buffer overflow | WebGL | 534923522 | |
| CVE-2026-76036 | Critical | Buffer overflow | Dawn | 540087398 | |
| CVE-2026-76033 | High | Inappropriate implementation | CORS | 516715010 | |
| CVE-2026-76037 | High | Link following | CredentialProvider | 517612295 | |
| CVE-2026-76044 | High | Race condition | USB | 522732244 | |
| CVE-2026-76039 | High | Incorrect reference resolution | Core | 525167753 | |
| CVE-2026-76040 | High | Use-after-free | Browser | 534862220 | |
| CVE-2026-76035 | High | Inappropriate implementation | Media | 536439844 | |
| CVE-2026-76042 | High | Use of uninitialized resource | GPU | 536460270 | |
| CVE-2026-76046 | High | Buffer overflow | ANGLE | 536581050 | |
| CVE-2026-76043 | High | Incorrect calculation | V8 | Raghav Maheshwari | 539350801 |
| CVE-2026-76041 | High | Information leak | Skia | 540027341 | |
| CVE-2026-76047 | High | Type confusion | V8 | ywatanabee | 541251902 |
| CVE-2026-76038 | High | Type confusion | V8 | un3xploitable && GF | 541926503 |
| CVE-2026-76045 | High | Use-after-free | WebGL | OpenAI Codex Security (amyb) | 543082390 |
ユーザーは、ブラウザ・メニューから「ヘルプ」→「Google Chrome について」の順に選択することで Chrome を更新でき、Chrome は提供されている最新バージョンを自動的に確認してアップデートをダウンロードした後、ユーザーに再起動を促す。
組織に求められるのは、管理対象の Windows／macOS／Linux エンドポイントに対して、通常のパッチ管理プロセスを通じて新しい Chrome バージョンを確実に適用することである。さらに、セキュリティ・チームに求められるのは、信頼できない Web サイトへ定期的にアクセスするシステムや Web を利用するグラフィックス・アプリケーションを使用するシステムを対象として、ブラウザのバージョンが適切に更新されているかを監視することである。
Google Chrome のグラフィックス処理を担う描画コンポーネントにおいて、境界外のメモリ領域へデータを書き込んでしまう制御上の欠陥が潜んでいたことが、一連の問題の背景として挙げられます。これらの不具合が放置された場合、悪意ある Web サイトの閲覧を通じた任意の命令の実行／システムの予期せぬ停止／重要データの破壊といった重大な影響を与える恐れがあります。本件の脆弱性である CVE-2026-76034／CVE-2026-76036 への有効な対応策として、最新の修正パッチを組み込んだバージョンへの迅速な自動更新／システム管理ツールを用いた一括適用／稼働端末における適用状態の監視が強く推奨されます。
IoT OT Security News 
You must be logged in to post a comment.