Google Chrome 10件の脆弱性が FIX：Critical 1件／High 6件／Medium 3件を修正

Google Chrome 155 Patches Critical Use-After-Free Flaw and Nine Additional Security Bugs

2026/10/16 gbhackers — 2026年10月15日に Google が Stable チャネルで公開したのは、Chrome の 10件のセキュリティ脆弱性を修正する Chrome 155 のリリースである。今回のアップデートでは、ページの事前読み込み機能 Prerender に存在する、深刻度 Critical の脆弱性 CVE-2026-110922 が修正されている。この脆弱性は、解放済みメモリを使用する Use-After-Free (UAF) に起因するものであり、悪用に成功すると、攻撃者によって、メモリ破損やコード実行が引き起こされる恐れがある。すでに Google は、修正済みバージョンの配信を開始しており、今後、数日から数週間かけて順次展開すると説明している。

Chrome 155 の修正済みバージョン

今回公開された Chrome 155 のバージョンは、OS によって異なる。

OS修正済みバージョン
Windows155.0.8059.84／155.0.8059.85
macOS155.0.8059.84／155.0.8059.85
Linux155.0.8059.84

ユーザーは自動更新の配信を待つことなく、Chrome の「Google Chrome について」画面から更新を確認できる。なお、アップデートの適用後は、ブラウザを再起動する必要がある。

Chrome 155 で修正された 10件のセキュリティ脆弱性

Google が公開したセキュリティ・アップデート情報によると、今回修正された脆弱性は以下の 10件となる。深刻度の内訳は、Critical が 1件、High が 6件、Medium が 3件となっている。

CVE ID深刻度コンポーネント脆弱性の種類報告者
CVE-2026-110922CriticalPrerenderUse-After-FreeXinyang Ge
CVE-2026-110913HighDOMメモリ破損Xinyang Ge（Anthropic）、Claudeの支援
CVE-2026-110919HighV8Use-After-FreeXinyang Ge
CVE-2026-110918HighCoreメモリ破損Google
CVE-2026-110917HighSVGメモリ破損C0rk1
CVE-2026-110921HighV8Use-After-FreeXinyang Ge
CVE-2026-110920HighV8メモリ破損Xinyang Ge
CVE-2026-110916MediumDesktop不適切な入力検証Google
CVE-2026-110915MediumCompositingUse-After-FreeGoogle
CVE-2026-110914MediumWorkersメモリ破損Google

今回の修正では、Chromeの主要コンポーネントである Prerender／V8／DOM／Core／SVG などに関する脆弱性が修正されている。

CVE-2026-110922：Prerender に存在する Use-After-Free の脆弱性

最も深刻な脆弱性 CVE-2026-110922 は、Chrome の Prerender 機能に存在する Use-After-Free の問題として報告されている。

Prerender は、ユーザーが次にアクセスする可能性のあるWebページを、バックグラウンドで事前に読み込み、ページ遷移を高速化するための機能だ。

CVE-2026-110922 は、セキュリティ研究者 Xinyang Ge により、2026年10月2日に報告された。

Use-After-Free とは

Use-After-Freeは、プログラムがメモリを解放した後も、そのメモリ領域を使用し続けることで発生する脆弱性だ。解放済みのメモリにアクセスすると、プログラムが予期しない動作を起こし、メモリ破損を引き起こす可能性がある。

この問題を悪用する攻撃者は、状況に応じて、ブラウザのレンダラー・プロセス内で任意のコードを実行する恐れがある。

ただし、今回の CVE-2026-110922 について、Google は具体的な悪用方法の詳細を公開していない。また、多くのユーザーが修正済みバージョンへ更新するまで、関連するバグトラッカーへのアクセスを制限している。

V8 や DOM などに 6件の High 脆弱性

Chrome 155 では、深刻度が High の脆弱性 6件も修正されている。これらの脆弱性は、Chrome の JavaScript／WebAssembly エンジンである V8 や、DOM／Core／SVG などのコンポーネントに存在する。V8 は、Chrome 上で JavaScript／WebAssembly コードを実行するためのエンジンである。今回、V8では以下の3件が修正された。

CVE ID脆弱性の種類深刻度
CVE-2026-110919Use-After-FreeHigh
CVE-2026-110921Use-After-FreeHigh
CVE-2026-110920メモリ破損High

これら 3件は、いずれも Xinyang Ge により報告された。V8 は Web コンテンツのスクリプト処理を担う、重要なコンポーネントであり、それらのメモリ管理に関する脆弱性は、ブラウザの安全性に影響する可能性がある。

CVE-2026-110913：Claude の支援を受けて発見された DOM の脆弱性

今回のアップデートでは、AI を活用した脆弱性研究の事例も注目されている。CVE-2026-110913 は、Chrome の DOMコンポーネントに存在するメモリ破損の脆弱性である。この問題は、Anthropic の Xinyang Ge により 2026年9月29日に報告された。

Google の公開情報では、「assisted by Claude」という記載がある。つまり、脆弱性の発見／調査に AI モデル Claude が関与したことが、報告者情報として明示されている。

AI を活用する脆弱性研究が、広がっていることを示す事例の一つといえる。ただし、AI が単独で脆弱性を発見したと説明されているわけではなく、研究者による調査を支援したものとして記載されている。

Medium の脆弱性 3件

深刻度が Medium の 3件は、いずれも Google の研究者により報告された。対象となるのは以下の脆弱性だ。

CVE IDコンポーネント脆弱性の種類
CVE-2026-110916Desktop不適切な入力検証
CVE-2026-110915CompositingUse-After-Free
CVE-2026-110914Workersメモリ破損

このうち、Desktop に存在する CVE-2026-110916 は、2026年4月12日に報告された。今回の 10件の中では、最も早い時期に報告された脆弱性となっている。一連の修正対象の脆弱性は、2026年4月〜10月に報告されたものだ。

Google は複数のセキュリティ検証ツールを活用

Google によると、今回修正された脆弱性の多くは、複数のセキュリティ検証ツールを活用して発見された。

使用されたツールには、以下が含まれる。

  • AddressSanitizer：メモリアクセスに関する不具合の検出。
  • MemorySanitizer：初期化されていないメモリの使用を検出。
  • UndefinedBehaviorSanitizer：未定義動作の検出。
  • Control Flow Integrity：プログラムの制御フローに関する整合性の検証。
  • libFuzzer：ファジングによる不具合の検出。
  • AFL：ファジングによる異常動作の検出。

こうしたツールは、通常の動作確認では発見しにくい、メモリ破損や不正なメモリ・アクセスなどの問題を検出するために利用される。

実際の攻撃での悪用は報告されていない

Google のセキュリティ・アドバイザリにおいて、今回修正された 10件の脆弱性について、実際の攻撃で悪用されたという報告はない。また、具体的なエクスプロイトの詳細についても公開されていない。

そのため、脆弱性 CVE-2026-110922 などが、すでに攻撃に利用されていると断定することはできない。一方、今回の更新には Critical と評価される脆弱性が含まれており、ユーザーや管理者には早期のアップデートが推奨される。

Chrome 155へのアップデート方法

Chrome を使用しているユーザーは、以下の手順でアップデートを確認できる。

  1. Google Chrome を起動する。
  2. 画面右上のメニューを開く。
  3. 「ヘルプ」から「Google Chromeについて」を選択する。
  4. Chromeが利用可能なアップデートを確認する。
  5. 更新が完了したら、ブラウザを再起動する。

アップデート後は、使用中の OS に対応する修正済みバージョンになっていることを確認することが重要だ。

Edge／Brave／Opera などの Chromium 系ブラウザにも注意

今回の脆弱性は Google Chrome で修正されたものだが、他の Chromium ベースのブラウザにも関係する可能性がある。 Chromium をベースとする代表的なブラウザには、以下がある。

  • Microsoft Edge
  • Brave
  • Opera

これらのブラウザは Chromium のコードを利用しているため、Chrome で修正された脆弱性への対応が、各製品のアップデートにも反映される場合がある。ただし、Chrome の修正済みバージョンが公開された時点で、すべての Chromium系 ブラウザにも修正が適用されているとは限らない。

各ブラウザの利用者や管理者は、それぞれのベンダーが公開するセキュリティ情報を確認し、修正済みリリースが提供されているか確認する必要がある。

今回の Chrome 155 では、Critical な Use-After-Free 脆弱性を含む 10件の問題が修正された。Googleは実際の攻撃での悪用を報告していないが、ブラウザは日常的に外部の Web コンテンツを処理するソフトウェアであるため、脆弱性への迅速な対応が重要となる。

この記事は、Web ブラウザである Google Chrome における複数セキュリティ不具合を解消した最新更新の公開について解説するものです。高速読み込み機構やスクリプト実行エンジン処理における不適切なメモリ取り扱いが背景に存在します。影響として、悪意の Web ページ閲覧に伴うメモリ破壊／プログラムの異常終了／不正コマンド実行が生じる恐れがあります。対応策として、ヘルプ画面からの最新ビルド確認／指示に従ったブラウザの再起動による速やかなプログラム適用が求められます。