Android版Chromeに重大な脆弱性、156.0.8078.47で修正
Android版ChromeのWebGLに、細工されたページ経由でサンドボックスの外までコードを実行されるおそれのある脆弱性が見つかりました。社用のAndroid端末を管理する担当者は、Chromeを156.0.8078.47以降に更新し、端末の版を確認してください。
急ぎ度: 早めに
CVSS v3は9.6でChromiumの深刻度もCriticalですが、修正版がすでにあり、EPSSは0.42%（37パーセンタイル）と低いため、至急ではなく早めの更新が妥当です。
関係があるか
Android端末でChromeを使っている組織が対象です。社用スマートフォン、現場のタブレット、私物端末の業務利用も含みます。CVEの記録にはAndroid版とだけ書かれており、デスクトップ版は対象として挙がっていません。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Google Chrome（Android） | 156.0.8078.47より前の版 | 156.0.8078.47 |
確かめ方
- 1Android端末のChromeで、メニューから設定、Chromeについて、の順に開き、版が156.0.8078.47以降かを見ます。
- 2MDMや資産管理ツールで、Chromeの版を端末ごとに一覧できるか確認します。156.0.8078.47より前の端末が更新の対象です。
- 3端末にadbで接続できる検証環境なら、
adb shell dumpsys package com.android.chromeの出力にあるversionNameで版を確認できます。
何が起きたか
Android版Chromeに、攻撃者が用意したコードを端末上で実行されるおそれのある脆弱性があります。Chromiumプロジェクトは深刻度を最高のCriticalと評価しました。
原因は、ブラウザー上で3Dグラフィックスを描く仕組みであるWebGLの処理にあります。確保された領域の外へデータを書き込んでしまう、範囲外書き込み（CWE-787）です。
この脆弱性が重いのは、コードの実行がサンドボックスの外に及ぶ点です。Chromeは本来、Webページを処理する部分を制限された領域に閉じ込め、不具合があっても被害が端末全体に広がらないようにしています。その外側まで届くため、CVSSでもスコープの変更ありと評価されています。
修正版は156.0.8078.47です。
攻撃の流れ
-
1
細工したページ
攻撃者がWebGLの不具合を突くHTMLページを用意します。
-
2
利用者が閲覧
Android版Chromeの利用者がそのページを開きます。
-
3
範囲外へ書き込み
WebGLの処理が、確保された領域の外へデータを書き込みます。
-
4
保護を越える
サンドボックスの外で、攻撃者のコードが実行されます。
どう悪用されるか
ネットワーク越しに悪用でき、攻撃者は事前のログインや権限を必要としません。ただし、利用者が細工されたページを開く操作が前提です。攻撃の難易度は低いと評価されています。
悪用されると、端末上の情報の漏えい、データの改ざん、端末の機能停止のいずれにも至るおそれがあります。機密性・完全性・可用性の3項目すべてが影響大と評価されています。サンドボックスの外でコードが動くため、Chromeの中だけで被害が収まる保証はありません。
今すぐやること
-
1
Chromeの版を棚卸しする
社用端末と、業務で使っている私物端末のChromeの版を集めます。156.0.8078.47より前の端末が更新の対象です。
adb shell dumpsys package com.android.chrome -
2
156.0.8078.47以降へ更新する
Google Playから個別に更新するか、MDMで配信します。更新後はChromeを一度終了して開き直し、新しい版で動いているかを確認します。
-
3
未更新の端末を追う
自動更新が止まっている端末や、長く電源を入れていない端末が残りがちです。MDMで版を定期的に突き合わせ、残った端末は利用者に更新を依頼します。
-
4
ベンダーの告知で配信状況を確かめる
Chrome ReleasesのAndroid向けの告知で、修正版が自社の端末や地域に届いているかを確認します。WebViewなどChrome以外が対象かも、各ベンダーの告知で確かめます。
背景
Android版Chromeは、社用スマートフォンや現場の業務端末で、メールやチャットのリンク先を開くときの入口になりがちです。利用者は開く先のサイトを選べず、ブラウザーは信頼できないページを受け取って処理します。そのため、描画処理の不具合は外部から突かれやすい場所です。
WebGLはGPUを使って3Dグラフィックスを描くAPIです。ページから渡された指示を、メモリを直接扱う処理で実行します。範囲外書き込みはこうした処理で起きやすい種類の不具合です。通常はChromeのサンドボックスが被害を閉じ込めますが、この脆弱性についてはサンドボックスの外でコードが動くと記載されています。
よくある質問
Q.WebViewや、Chrome以外のChromium系ブラウザーも影響を受けますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Chrome |
156.0.8078.47 以上 156.0.8078.47 未満 |
156.0.8078.47 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Out of bounds write in WebGL in Google Chrome on on Android prior to 156.0.8078.47 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical)
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory Chrome Releases「Stable Channel Update for Desktop」(2026年10月)
- patch chrome-cve-admin@google.com
- REDHAT Red Hat
- web chrome-cve-admin@google.com
- web nvd.nist.gov
- web github.com