Chrome、悪用された脆弱性を報告から3日で修正

Chromeの右上に出る、更新を促す小さな矢印アイコン。作業の邪魔だと思って、再起動を後回しにしたことがある人は多いはずだ。今回ばかりは、それを勧められない。Googleは2026年11月9日、Chromeの安定版を更新し、9件のセキュリティ上の欠陥を直した。その中の1件は、直る前からすでに悪用されていたとGoogle自身が公式ブログで認めている。どの欠陥が悪用され、残る8件とどう違う扱いを受けたのかを確かめた。

9件中1件はすでに悪用済みだった

Chrome Releases公式ブログによると、今回の更新でWindows・Macは157.0.8103.50または.51になる。Linuxは157.0.8103.50だ。含まれるセキュリティ修正は9件で、深刻度は上から2番目の「High」が7件、「Medium」が2件。最上位の「Critical」はない。

9件の内訳は次のとおりだ。

この中で公式ブログが名指ししているのが、表の最後の行、CVE-2026-125350だ。原文は「Google is aware that an exploit for CVE-2026-125350 exists in the wild.」。悪用の実例がすでに野放しの状態で存在すると、Google自身が把握していることを認める一文だ。9件の中でこの記載があるのはこの1件だけで、他の8件にはない。

深刻度だけを見ると、このCVE-2026-125350は「High」止まりで、「Critical」のCVEは今回の9件に含まれていない。深刻度の順位だけでは、どれが一番急ぐべき修正かは分からない。急ぐべきかどうかを決めているのは、深刻度ではなく「悪用されているかどうか」という一点だった。

ではこのCVE-2026-125350は、具体的にどんな欠陥なのか。表の種別の欄にある「解放後使用」という言葉が手がかりになる。

「解放後使用」とは何か

Chromeのようなソフトウェアは、作業に使うメモリの領域を、必要なときに確保し、使い終わったら手放すという動作を絶えず繰り返している。手放した領域は「空いている」という扱いになり、少し後に別の処理が新しく確保して使い回す。

この「手放した」という扱いにしたはずの領域に、古い処理への参照がまだどこかに残っていると、問題が起きる。 新しい処理がそこに別のデータを書き込んだ後も、古い処理の側は自分のものだと思い込んだままだ。消し忘れた参照を通じて、その領域へアクセスし続けてしまう。これが「Use after free(解放後使用)」と呼ばれる欠陥の種別だ。表中のCVE-2026-125346とCVE-2026-125350は、いずれもこの種別に分類されている。

古い処理から見える中身が、本来とは別の処理が書き込んだデータにすり替わっている。攻撃者がこのすり替えを細工できれば、古い処理に、想定していないコードを実行させる足がかりになる。メモリの管理ミス1つが、ただのクラッシュでは済まず、侵入口になりうる理由はここにある。

この種別の欠陥が見つかってから直るまでに、通常どれくらいの時間がかかるのか。公式ブログは、報告日も一緒に公開している。

報告からわずか3日で直っていた

公式ブログには、9件それぞれの報告日も記載がある。今回の更新の公開日(2026年11月9日)との差を自分で計算すると、悪用が確認されたCVE-2026-125350だけが際立って短い期間で修正されていたことが分かった。

他の8件は、報告から修正まで28日から112日かかっている。Google社内で見つけた欠陥でも、1か月から3か月半ほど待たされているものが多い。その中で、匿名の報告者が2026年11月6日に届けたCVE-2026-125350だけが、わずか3日で修正版の公開にこぎつけている。

この数字を最初に並べたとき、自分は見間違いかと思った。だが9件とも公式ブログに載っている日付をそのまま引き算しただけの、単純な計算だ。自分には、悪用の実例があるという情報が、修正の優先順位を大きく動かしたように見える。なお、CVE-2026-125346も同じ「XMLでの解放後使用」という種別だが、公式ブログはこの2件の関係を明記していない。種別が同じだからといって、同一の欠陥だったと決めつけることはできない。

優先して直されたことは分かった。では、読者である自分たちのChromeは、今どういう状態にあるのか。

Chromeは今どうなっているか

この記事が当てはまるのは、Windows・Mac・Linuxのデスクトップ版を使っている場合だ。公式ブログのタイトルも「Stable Channel Update for Desktop」となっている。Android版・iOS版のChromeは、このブログの対象に含まれていない。スマートフォンだけでChromeを使っている場合、今回の更新は関係しない。

デスクトップ版を使っている場合も、全員に即座に行き渡るわけではない。公式ブログは「will roll out over the coming days/weeks」、つまり数日から数週間かけて段階的に展開すると説明している。Impress Watchの報道によれば、対応OSの条件もある。Windows版はWindows 10以降(Arm版はWindows 11以降)、Mac版はmacOS 13 Ventura以降だ。

今すぐ確認したい場合は、次の手順を試すとよい。

1. アドレスバーにchrome://settings/helpと入力して開く
2. 自動的にバージョンの確認が始まり、新しい版があれば自動でダウンロードされる
3. 「再起動」ボタンが出たら押す。再起動するまで修正は適用されない

ポップアップが出ていなくても、この手順で手動に確認できる。悪用がすでに確認されている欠陥が含まれる以上、見かけたら後回しにする理由はない。

まとめ

Chromeは2026年11月9日、Windows・Mac・Linuxのデスクトップ版を157.0.8103.50系へ更新し、9件のセキュリティ上の欠陥を修正した。深刻度は最上位の「Critical」こそ含まない。それでも、XML処理の「解放後使用」の欠陥であるCVE-2026-125350は、Google自身が悪用の実例を把握していると明言している唯一の1件だ。

報告から修正までの日数を比べると、他の8件が28日から112日かかった一方、この1件だけは3日で修正版にたどり着いていた。chrome://settings/helpを開いて更新を確認し、再起動ボタンが出たら押す。それだけで、今回の修正は反映される。