Google Releases Major Chrome Security Update Fixing 213 Bugs, Including 7 Critical Vulnerabilities
2026/11/04 CyberSecurityNews — Google が公開したのは、Windows／macOS／Linux 向けの Chrome 157 であり、重大と評価された 7件を含む 213件の脆弱性を修正している。2026年11月3日に発表された今回のアップデートでは、グラフィックス／メモリ処理／ブラウザ機能／アクセス制御に関する脆弱性が修正されている。Google によると、安定版は今後数日から数週間をかけてユーザーに配信される予定である。
修正版のバージョンは、Linux 向けが 157.0.8103.38、Windows／macOS 向けが 157.0.8103.38/.39 である。今回のリリースは、CyberSecurityNews の記事で取り上げられた、Chrome 156 の 353件のセキュリティ上の問題を修正したアップデートに続く大規模な更新であり、ブラウザを常に最新の状態に維持することの重要性を示している。
メモリ安全性に影響する 7件の重大な脆弱性
重大な脆弱性のうちの 2件は、Chrome における WebGPU グラフィックス標準の実装である、Dawn のバッファ・オーバーフローに関するものである。CVE-2026-121156 は、depthfirst の Zhenpeng “Leo” Lin が 2026年9月30日に報告しており、10,000ドルの報奨金が支払われている。
Dawn に存在するもう 1件の脆弱性 CVE-2026-121247 は、2026年10月3日に Google が報告している。バッファオーバーフローとは、ソフトウェアがデータ用に確保されたメモリ領域の境界を超えて書き込みを行うことで発生する欠陥である。
別の重大な脆弱性 CVE-2026-121229 は、ANGLE におけるメモリ破損に関するものである。研究者の @mfx が 2026年9月17日に報告しており、1,000ドルの報奨金を受け取っている。グラフィックス関連のセキュリティ上の問題は、以前のリリースでも確認されており、WebGL と Dawn の重大な脆弱性を修正した Chrome のアップデートも、その一例である。グラフィックス関連のコンポーネントは、ブラウザのセキュリティ対策における重要な領域であり、こうした修正が繰り返されている。
残る 4件の重大な脆弱性は、いずれも解放済みメモリの使用 (Use-After-Free) に関するものである。対象は、WebGL の CVE-2026-121246／Prerender の CVE-2026-121035／Geometry の CVE-2026-121203／Core の CVE-2026-121126 である。この種の脆弱性は、ソフトウェアがメモリを解放した後も、その領域を使用し続けることで発生する。状況によっては、そのメモリ領域を攻撃者が操作する可能性があるが、リリースノートでは、具体的な攻撃手法は説明されていない。
Google の Chrome 公式リリース発表では、WebGL の脆弱性について、Google 社内の研究者が報告者として記載されている。その一方で、Prerender と Geometry の脆弱性を報告したのは Xinyang Ge、Core の脆弱性を報告したのは Wenbin Liu である。特に Prerender の項目では、Anthropic の Ge が Claude の支援を受けたことが明記されている。この記載は、AI を活用するセキュリティ研究の実施を裏付けるものであるが、脆弱性の発見が完全に自動化されていたことを示すものではない。
今回のアップデートでは、これら 7件の重大な脆弱性に加え、深刻度 High と評価された問題も修正されている。対象には、BackgroundFetch における不適切な認可／ANGLE における境界外メモリアクセス／V8 における型の混同／PDFium や Media などのコンポーネントにおけるメモリ関連の脆弱性が含まれる。ブラウザのセキュリティは、Web ページを表示するコードだけでなく、多数の相互接続されたシステムに依存しているため、こうした広範囲にわたる修正は重要である。
今回の発表において Google は、これらの脆弱性が実際の攻撃で悪用されているとは述べていない。また、概念実証 (PoC) のエクスプロイトや、詳細な攻撃チェーンも公開していない。したがって、任意のコード実行／サンドボックスからの脱出／デバイス全体の侵害が実際に確認されているかどうかは不明である。公開されたアドバイザリでは、こうした攻撃結果は確認されていない。
ユーザーや IT チームにとって優先すべきことは、修正版をインストールした上で、ブラウザが実際に更新後のバージョンで動作していることを確認することである。Google は、大多数のユーザーに修正が行き渡るまで、一部の技術的な詳細情報の公開を制限している。
影響を受けるコンポーネントに、複数の製品で共有されるサードパーティ製ライブラリが含まれる場合、情報公開の制限がさらに長期間継続する可能性がある。Chromium Security のページ で説明されているのは、協調的な脆弱性情報の開示プロセスと、機密性の高い脆弱性情報へのアクセスを制限する理由である。
この記事は、Web ブラウザである Google Chrome に存在する多数のセキュリティ不具合と、その対策について解説するものです。描画処理エンジンの領域外データ書き込みやメモリ解放後の不正参照などが背景に存在します。影響として、内部処理の意図しない停止／不正なデータアクセスの発生／第三者によるシステム制御権の獲得が生じる恐れがあります。対応策として、修正済みバージョンへの最新化／ブラウザの再起動による適用確認が求められます。
You must be logged in to post a comment.