Google Chrome ― XML処理のゼロデイ脆弱性が悪用され修正

要点

影響を受けるもの

デスクトップ版Google Chrome：Windows・Macは157.0.8103.50/.51より前、Linuxは157.0.8103.50より前（Chrome Releases）。
CISAは、Microsoft EdgeやOperaなど同じChromiumを使うブラウザにも影響しうるとしている（CISA KEV）。

今すぐやること

Chromeを157.0.8103.50以降に更新し、ブラウザを再起動する。
Edgeなど他のChromium系ブラウザは、各ベンダーの更新が出ているか確認して適用する。

何が起きているか

事実（Google、CISA）

Googleは2026年11月9日（米国時間）、デスクトップ版Chromeの安定版を更新し、9件の脆弱性を修正した。このうちCVE-2026-125350について「悪用コードが実際に存在することを把握している」と明記した（Chrome Releases）。
CVE-2026-125350は、XML処理部分の解放後使用（use after free）で、深刻度はHigh。匿名の報告者が11月6日にGoogleへ報告した（Chrome Releases）。
CISAは11月10日、この脆弱性をKEV（悪用が確認された脆弱性の一覧）に追加した。CISAの説明では、細工したWebページを通じて、サンドボックス内で任意のコードを実行されるおそれがある。米連邦機関の対応期限は11月24日（CISA 11月10日の追加告知）。
攻撃者、標的、攻撃の規模は、Googleも公表していない。バグの詳細は利用者の多くが更新を終えるまで非公開とされている（Chrome Releases）。
報道によれば、2026年に実際の攻撃が確認されたChromeのゼロデイはこれで8件目（BleepingComputer、SecurityWeek）。

影響を受ける製品・バージョン

製品	影響を受ける版	修正版
Chrome（Windows・Mac）	157.0.8103.50/.51より前	157.0.8103.50/.51
Chrome（Linux）	157.0.8103.50より前	157.0.8103.50
Chrome 延長安定版（Windows・Mac）	156.0.8078.96より前	156.0.8078.96（11件の修正を含む。CVE-2026-125350が含まれるかはGoogleの告知に明記なし）
Chromium系ブラウザ（Edge、Operaなど）	各ベンダーの告知を確認	各ベンダーの告知を確認

同じ更新では、XML処理の別の解放後使用（CVE-2026-125346）、V8の型の取り違え（CVE-2026-125344）、GPUの範囲外書き込み（CVE-2026-125348）など、深刻度Highの脆弱性6件とMedium 2件も修正された。これらは悪用の報告がない（Chrome Releases）。

修正版・回避策

修正：上の表の版へ更新する。Googleは数日から数週間かけて配信するとしているので、自動更新を待たずに「Chromeについて」画面で更新を確認するのが確実。
回避策はGoogleから示されていない。

今すぐやること

社内のChromeを157.0.8103.50以降にし、再起動まで済ませる。更新をダウンロードしただけでは、ブラウザを閉じるまで古い版が動き続ける。
管理ツールで配布している組織は、ポリシーで最低バージョンを157.0.8103.50にそろえ、古い版が残っている端末を洗い出す。
Edge、Brave、OperaなどChromium系ブラウザも、各ベンダーの修正版が出たら同様に更新する。

考察

「サンドボックス内」でも軽視できない: CISAの説明ではコード実行はサンドボックス内にとどまるが、実際の攻撃では、サンドボックスを抜ける別の脆弱性と組み合わせて使われることが多い。今回もう1件の脆弱性が併用されたかどうかは公表されていないので、断定はできない。
報告から3日で修正: 11月6日の報告から11月9日の修正まで3日と短く、Googleが実際の攻撃を重く見たことがうかがえる。詳細が非公開のうちに更新を終えておきたい。
再起動しない端末が穴になる: Chromeは開きっぱなしで使われやすく、更新が適用されないまま古い版が動く端末が残りがちだ。バージョンの棚卸しまでやって初めて対応完了と考えたい。

出典

原文をGitHubで読む ↗