Chrome V8 の 12 件の脆弱性が FIX：実環境での CVE-2026-85046 の悪用を確認

Google Chrome V8 Flaw Actively Exploited in the Wild, Update Released

2026/09/04 gbhackers — Google は、Chrome の JavaScript／WebAssembly エンジンである V8 に存在する深刻度 High の脆弱性 CVE-2026-85046 (CVSS：8.8) を公表し、Stable チャネルで緊急アップデートを公開した。この脆弱性はタイプ・コンフュージョンに起因し、すでに実環境で悪用されている。リモート攻撃者は、細工した HTML ページを被害者に開かせることで、Chrome のサンドボックス内でコードを実行する可能性がある。

今回のセキュリティ・アップデートにより、Windows／macOS 向けの Chrome はバージョン 152.0.7977.82／.83 に、Linux 向けはバージョン 152.0.7977.82 にアップデートされる。Google によると、アップデートは今後数日から数週間かけて段階的に配信されるため、組織および個人ユーザーには、インストール済みのバージョンを確認した上で、直ちにアップデートを実行することが推奨される。

Google Chrome V8 の脆弱性

脆弱性 CVE-2026-85046 は、Chrome で JavaScript／WebAssembly を処理するエンジン V8 に存在するタイプ・コンフュージョンの欠陥であり、ソフトウェアがメモリ・オブジェクトを誤って別のデータ型として扱うことで発生する。この問題により、安全でないメモリ・アクセスや、攻撃者が制御する動作が可能になる場合がある。

CVE レコードによると、Chrome 152.0.7977.82／.83 未満のバージョンが影響を受ける。この脆弱性を悪用するリモート攻撃者は、細工した HTML ページを介して Chrome のサンドボックス化されたレンダラー・プロセス内で任意のコードを実行する可能性がある。この脆弱性は High と評価されており、CVSS Base Score は 8.8 である。

Google は、CVE-2026-85046 の実環境での悪用を確認しているが、脅威アクターや観測された攻撃で使用されたエクスプロイト・チェーンの詳細は、大多数のユーザーが修正を適用するまでバグレポートへのアクセスを制限するという Google のポリシーに沿って公表されていない。

この脆弱性を 2026年8月4日に報告したのは、Serotav として知られるセキュリティ研究者の Salvatore Gulizia であり、Google はこの発見に対して 1,000 ドルのバグ・バウンティ報奨金を支払った。

Chrome 152.0.7977.82／.83 には、12 件の脆弱性に対するセキュリティ修正が含まれており、上記の V8 の脆弱性に加え、ブラウザの主要コンポーネントに影響を及ぼす複数の High 評価の脆弱性も修正された。

これらの修正で対処されたのは、CrashReporting の境界外読み取り／Network の不完全なクリーンアップ／Compositing の解放後使用／V8 の競合状態／WebGL の境界外書き込み／CacheStorage の不適切なリソース公開／DevTools および Skia の解放後使用／Compositing のタイプ・コンフュージョンなどの欠陥である。

Google が実環境での悪用を確認しているのは CVE-2026-85046 のみであるが、多数の High 評価の脆弱性が修正されていることから、今回のアップデートは企業環境にとって重要なセキュリティ・リリースとなる。

攻撃者は、悪意のある Web サイト／侵害された正規サイト／フィッシング・リンク／オンライン広告／ソーシャルメディア上のメッセージなどを介してブラウザ・エクスプロイトを配信でき、攻撃者が制御する Web コンテンツをユーザーが読み込んだ時点で悪用が始まる可能性がある。このため、ブラウザのアップデートを後回しにすることなく、優先的に実施すべきである。

Chrome をアップデートするには、ユーザーは 3 点アイコンのメニューを開き、「ヘルプ」から「Google Chrome について」を選択する。ブラウザは最新リリースを自動的にダウンロードするが、インストールを完了するには Chrome の再起動が必要となる。

管理者は、ブラウザ管理プラットフォームを介して、エンドポイントのバージョンを確認すべきである。Windows および macOS デバイスでバージョン 152.0.7977.82／.83 以降が稼働していることを確認し、Linux 環境でもバージョン 152.0.7977.82 以降を使用する必要がある。また、組織としては、不審なリンクを介して Web サイトにアクセスしたシステムについて、パッチ適用前の侵害の有無を調査することが推奨される。

Web ブラウザの Google Chrome において、JavaScript などを処理する V8 エンジンにタイプ・コンフュージョンの欠陥が見つかりました。この問題はメモリ制御の不備に起因しており、攻撃者が用意した不正な Web ページの閲覧／悪意あるリンクの実行／広告等の表示をきっかけに発生します。被害を受けるとブラウザ内で意図しない操作を行われる危険があり、すでに実環境での悪用も検出されています。安全を確保するための対応策は、システムを最新版へ更新／エンドポイントの稼働バージョン確認／不審なアクセス履歴の調査となります。対象の識別番号は CVE-2026-85046 です。迅速なパッチ適用と環境の確認が強く求められます。