同じ製品で同じ時期に公表された 2 件の脆弱性の 1 つです。まとめた解説: Chromeにコード実行の脆弱性、156.0.8078.79で修正
Chromeのコード実行脆弱性、修正版は156.0.8078.79
Google Chromeに、細工されたWebページを開かせるだけで端末上のコードを実行されるおそれのある脆弱性が公表されました。社内のChromeを修正版へ更新し、再起動まで済んでいるかを確認してください。
急ぎ度: 早めに
CVSS v3が9.6と高く、公表の翌日にはもう修正版が出ているため、自動更新に任せきりにせず、配布状況を数日のうちに確認しておく段階です。
関係があるか
従業員が業務でChromeを使っている組織が対象です。管理者がバージョンを固定している端末や、更新の反映を遅らせている環境は、修正版が届かないまま残りやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Google Chrome | 156.0.8078.79より前の版 | 156.0.8078.79 |
確かめ方
- 1Chromeのアドレスバーにchrome://settings/helpと入力すると、現在の版が表示されます。156.0.8078.79より前なら対象です。
- 2更新を取得しただけで再起動していない端末は、古い版のまま動いています。画面に「再起動」の表示が出ていないかも見てください。
- 3社内で更新を一括管理しているなら、管理コンソールや資産管理ツールで、端末ごとの版の分布を出して古い版が残っていないかを調べます。
- 4OSによって版番号の表記が異なる場合があるため、Googleのリリース告知で自社の環境に当たる版を確認してください。
何が起きたか
Google Chromeに、細工されたWebページを表示させることで、パソコン上で攻撃者のコードを動かせてしまうおそれのある脆弱性が見つかりました。修正版は156.0.8078.79です。
2026年10月30日に公表されました。メモリを管理する処理（GarbageCollection）にメモリ破壊の問題があり、悪用に成功すると、ブラウザーの隔離機能（サンドボックス）の外でコードが実行される可能性があるとされています。
Chromiumプロジェクト自身の深刻度はHighで、CVSS v3は9.6です。数値が高く出ているのは、影響がブラウザーの内側にとどまらず、サンドボックスの外にまで及ぶ前提で評価されているためと考えられます。
攻撃の流れ
-
1
細工したページ
攻撃者が、メモリ破壊を引き起こすよう作ったHTMLページを用意します。
-
2
閲覧させる
利用者が旧版のChromeでそのページを開きます。
-
3
メモリ破壊
メモリ管理の処理に問題が起き、ブラウザー内のメモリが壊されます。
-
4
サンドボックス外
隔離機能の外でコードが実行される可能性があります。
どう悪用されるか
ログインなどの認証は要りません。ネットワーク越しに攻撃でき、手間のかかる条件もありません。ただし、利用者が細工されたページを開く操作は必要です。メールやチャットのリンク、改ざんされたサイト、広告経由の誘導などが入口になり得ます。
悪用されると、機密性・完全性・可用性のいずれにも大きな影響が出る、と評価されています。サンドボックスの外でコードが動けば、端末内の情報の閲覧や書き換え、ほかのソフトの実行まで及ぶおそれがあります。
今すぐやること
-
1
Chromeを修正版へ更新する
156.0.8078.79以降に更新します。個人の端末はchrome://settings/helpを開けば更新が始まります。
-
2
ブラウザーを再起動してもらう
更新は再起動して初めて有効になります。開きっぱなしのウィンドウが多い従業員には、社内告知で再起動を促してください。
-
3
管理下の端末の版を一覧で確認する
更新を管理ツールで配布している組織は、配布の保留や遅延の設定を見直し、古い版が残る端末を洗い出します。Linuxの端末なら、版の確認は次のコマンドでできます。
google-chrome --version -
4
ベンダーの告知で悪用状況と対象環境を確認する
Googleのリリース告知には、今回の更新に含まれるほかの修正や、OSごとの版番号が載っています。実際の攻撃で悪用されているかも、告知やKEVなど最新の情報であわせて見てください。
-
5
Chromiumを基にした他のブラウザーも確認する
社内でEdgeなど別のブラウザーを使っている場合は、各ベンダーが修正版を出しているかを告知で確認します。
すぐ更新できないとき
修正版をすぐ当てられない端末については、個別の回避策をベンダーの告知で確認してください。当面のつなぎとして、その端末での業務外のWeb閲覧や、メール・チャットのリンクを開く操作を控えてもらうと、リスクを下げられます。ただし根本的な対策ではないため、更新を先送りする理由にはなりません。
背景
Chromeは、従業員がいちばん長く触れるアプリの一つです。社外のWebページを毎日読み込むため、攻撃者が最初に狙う入口になりやすい製品です。そこで、ページの描画などは「サンドボックス」と呼ばれる隔離された枠の中で動かし、万一ブラウザー内でコードを動かされても、OSや社内の情報に届きにくくしています。
今回の説明で注意したいのは、コード実行が「サンドボックスの外」と書かれている点です。ブラウザー内のメモリ破壊だけなら枠の中に収まる可能性がありますが、枠の外に出られる前提で評価されているため、CVSS v3が9.6まで上がっています。原因は、使われなくなったメモリを自動で片づける処理（GarbageCollection）です。メモリ破壊は、この処理の複雑さゆえに起こりやすい種類の問題とされています。
よくある質問
Q.自動更新が有効なら、何もしなくてよいですか。
Q.EdgeなどChromium系のブラウザーも対象ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Chrome |
156.0.8078.79 以上 156.0.8078.79 未満 |
156.0.8078.79 |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ修正版は配布版ごとに違うので、リンク先で確かめてください。
- Debian DEBIAN-CVE-2026-119263 chromium
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Memory corruption in GarbageCollection in Google Chrome prior to 156.0.8078.79 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High)
出典: Google Chrome Releases NVD GitHub Advisory
参照URL
- CHROME-RELEASES Stable Channel Update for Desktop
- REDHAT Red Hat
- web chromereleases.googleblog.com
- web issues.chromium.org
- web nvd.nist.gov
- web github.com