Google Chrome のアップデート：4 件の深刻なメモリ・セーフティ欠陥を含む 247 件の脆弱性を修正

Google Chrome Update Fixes Massive 247 Vulnerabilities, Including 4 Code Execution Flaws

2026/10/07 CyberSecurityNews — Google が 2026年10月6日にリリースしたのは、Windows／Mac／Linux 向け Chrome の大規模なセキュリティ・アップデートであり、4 件の深刻なメモリ・セーフティの欠陥を含む 247 件の脆弱性が修正された。修正版は、Windows／Mac 向けの 155.0.8059.39/.40、Linux 向けの 155.0.8059.39 として提供されている。Google の発表では、解放後使用 (Use-After-Free) に関する深刻な脆弱性が特定されており、コード実行の可能性が懸念される。ただし、具体的な悪用方法は説明されておらず、任意のコード実行が可能であることも確認されていない。

1 件目の深刻な解放後メモリ使用の脆弱性 CVE-2026-106382 は、Chromecast に影響するものであり、Google 社内から 2026年7月15日に報告された。2 件目の CVE-2026-106197 は Browser コンポーネントに影響し、セキュリティ研究者 Xinyang Ge から 2026年9月11日に報告された。

また、Navigation に影響する 3件目の CVE-2026-106358 は、2026年9月28日に報告され、Track に影響する 4件目の CVE-2026-106347 は、2026年9月30日に報告されている。この 2 件の発見者は、Claude の支援を受けた Anthropic の Xinyang Ge であり、脆弱性調査プロセスにおける AI の活用を示している。

4 件の重大な脆弱性に共通するのは、解放後メモリ使用という欠陥である。これは、解放済みのメモリに対して、ソフトウェアがアクセスすることで生じる問題である。

CVEAffected componentVulnerabilityReported by
CVE-2026-106382ChromecastUse after freeGoogle
CVE-2026-106197BrowserUse after freeXinyang Ge
CVE-2026-106358NavigationUse after freeXinyang Ge, Anthropic, assisted by Claude
CVE-2026-106347TrackUse after freeXinyang Ge, Anthropic, assisted by Claude

ただし、今回のアドバイザリでは、詳細が明らかにされていない。具体的には、これらの脆弱性により、サンドボックスからの脱出が可能になるのか／悪用にユーザー操作が必要なのか／実際に機能する攻撃チェーンとして組み合わせられるのか、といった点が不明である。

Chrome の 247 件の脆弱性が修正

Google は、これらの脆弱性が実環境で悪用されているとは明言していない。ただし、そのような記載がないことを、悪用されていない証拠と解釈すべきではない。

今回のアップデートでは、グラフィックス／メディア／ブラウザインターフェイス／セキュリティ制御などに存在する、深刻度の高い脆弱性も修正されている。CVE-2026-102322 は SiteIsolation における不適切な認可に関する脆弱性であり、CVE-2026-106239 は WebGL の整数オーバーフローに関する脆弱性である。ANGLE では、未初期化のリソース／型の混同／解放後使用に関する、複数の脆弱性が修正されている。

V8 エンジンでは、競合状態／型の混同／解放後使用の脆弱性が修正された。影響を受けるコンポーネントには、WebRTC／WebAudio／PDF／Storage／Autofill／Fonts／DevTools などが含まれる。深刻度が中程度／低程度の脆弱性には、情報漏えい／認可の欠如／誤解を招くインターフェース／リソース処理に関する欠陥が含まれている。

Google によると、多くのセキュリティ上の欠陥は AddressSanitizer／MemorySanitizer／UndefinedBehaviorSanitizer／Control Flow Integrity／libFuzzer／AFL を使用して検出されている。これらのツールは、Google が実施する広範なセキュリティテストの一部を構成している。

Google は、大多数のユーザーが修正版をインストールするまで、脆弱性の詳細へのアクセスが制限される可能性があると警告している。また、まだ修正されていない他のプロジェクトでも使用されている、サードパーティ・ライブラリに影響する場合には、この制限が継続されることもある。

修正状況を追跡する組織にとって、今回発表されたバージョン番号は、導入状況を確認するための明確な基準となる。また、アップデートは段階的に展開されるため、システムによって利用可能になる時期が異なる可能性がある。セキュリティチームに求められるのは、このリリースのリスクをユーザー／管理者へ伝える際に、確認済みの修正内容と、悪用可能性に関する未確認の主張を明確に区別することである。

Google Chrome における、メモリ安全性に関わる脆弱性の修正について解説する記事です。解放後メモリ使用といった欠陥の存在に伴い、プログラムの異常終了／メモリ領域の不正操作／遠隔からのコード実行といったリスクが発生しています。なお、対象となる CVE は CVE-2026-106382／CVE-2026-106197／CVE-2026-106358／CVE-2026-106347 などです。対応策として最新版へのアップデート適用が求められます。