Chromeに脆弱性12件、修正版157.0.8103.38が公開
Google Chromeの157.0.8103.38より前に、サンドボックスの外でコードを実行されるおそれのある脆弱性12件が公表されました。社内でChromeを使う組織は、修正版への更新と再起動を全端末で済ませてください。
同じ発表の脆弱性 12 件
急ぎ度: 早めに
12件ともCVSS v3は9.6で、修正版157.0.8103.38が公開済みであり、更新1回で全件が解消するため、早めの適用を勧めます。
関係があるか
業務でGoogle Chromeを使うWindows・Android端末を持つ組織が対象です。デスクトップ版は全件、Android版はさらに2件の影響を受けます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Google Chrome（プラットフォームを問わない件） | 157.0.8103.38より前 | 157.0.8103.38 |
| Google Chrome on Windows（Viewsの1件） | 157.0.8103.38より前 | 157.0.8103.38 |
| Google Chrome on Android（NavigationとContactsの2件） | 157.0.8103.38より前 | 157.0.8103.38 |
確かめ方
- 1Chromeのアドレスバーにchrome://settings/helpと入力し、表示された版が157.0.8103.38以上かを見ます。
- 2管理対象の端末が多い場合は、資産管理ツールやChromeの管理コンソールで、版ごとの台数を一覧にします。
- 3Android端末は、Google Playのアプリ詳細でChromeの版を確認します。Android版の配信状況は、Googleのリリース告知で確認してください。
何が起きたか
Google Chromeの157.0.8103.38より前の版に、12件の脆弱性が公表されました。ANGLE、TabStrip、Passwords、FileSystem、DevToolsなど複数の機能に及び、悪用されると、ブラウザーのサンドボックスの外で任意のコードを実行されるおそれがあります。
- CVE-2026-121148: ANGLEのuse after freeにより、サンドボックスの外でコードを実行される（CVSS v3は9.6）
- CVE-2026-121114: TabStripのuse after freeにより、サンドボックスの外でコードを実行される（CVSS v3は9.6）
- CVE-2026-121214: Passwordsのuse after freeにより、サンドボックスの外でコードを実行される可能性がある（CVSS v3は9.6）
- CVE-2026-121241: Android版Navigationのuse after freeにより、サンドボックスの外でコードを実行される可能性がある（CVSS v3は9.6）
- CVE-2026-121249: ANGLEのバッファオーバーフローにより、サンドボックスの外でコードを実行される（CVSS v3は9.6）
- CVE-2026-121034: Windows版Viewsのuse after freeにより、サンドボックスの外でコードを実行される（CVSS v3は9.6）
- CVE-2026-121104: FileSystemの認可の誤りにより、サンドボックスの外でコードを実行される可能性がある（CVSS v3は9.6）
- CVE-2026-121060: FileSystemの認可の誤りにより、サンドボックスの外でコードを実行される可能性がある（CVSS v3は9.6）
- CVE-2026-121076: WebXRのuse after freeにより、サンドボックスの外でコードを実行される（CVSS v3は9.6）
- CVE-2026-121234: Android版Contactsの権限昇格により、サンドボックスの外でコードを実行される可能性がある（CVSS v3は9.6）
- CVE-2026-121200: DevToolsの参照解決の誤りにより、サンドボックスの外でコードを実行される可能性がある（CVSS v3は9.6）
- CVE-2026-121030: DevToolsの認可の誤りにより、サンドボックスの外でコードを実行される可能性がある（CVSS v3は9.6）
Chromiumの深刻度は、9件がHigh、Contacts・DevToolsの3件がMediumです。ただしCVSS v3の値は12件とも同じなので、対応の順番を分ける必要はないと考えます。修正版は157.0.8103.38の1本にまとまっており、更新すれば全件が解消します。
攻撃の流れ
-
1
細工したページ
攻撃者が、悪意のあるHTMLページを用意します。
-
2
利用者が閲覧
未更新のChromeで、利用者がそのページを開きます。
-
3
脆弱性を突く
メモリ管理や権限確認の不備が引き金になります。
-
4
サンドボックス外
ブラウザーの隔離を越えて、端末上でコードが実行されるおそれがあります。
どう悪用されるか
12件とも、攻撃者はネットワーク経由で仕掛けます。認証は要りませんが、利用者が細工されたHTMLページを開くなどの操作が必要です。CVSS v3のベクターでは、影響範囲が変わる（スコープ変更）と評価されており、機密性・完全性・可用性のいずれにも高い影響が想定されています。
条件に違いがあるのは次の点です。Views、FileSystem（2件）、WebXR、DevToolsの2件の計6件は、攻撃者が利用者をだまして操作させる前提で書かれています。残る6件（ANGLEの2件、TabStrip、Passwords、Navigation、Contacts）には、その記述がありません。このうち、Passwords、Navigation、Contacts、FileSystem（2件）、DevToolsの2件は、コード実行が「可能性がある」という書き方です。
いずれも、悪用に成功した場合はサンドボックスの外でコードが動くため、端末そのものが侵害される前提で考える必要があります。
今すぐやること
-
1
Chromeを修正版に更新して再起動する
全端末のChromeを157.0.8103.38以上に更新します。自動更新が有効でも、ブラウザーを再起動するまで新しい版は使われません。起動しっぱなしの端末は、再起動を案内してください。
-
2
版の分布を確認する
資産管理ツールやChromeの管理コンソールで、157.0.8103.38未満の端末を洗い出します。Windowsの端末では、次のコマンドでも版を確認できます。
(Get-Item "C:\Program Files\Google\Chrome\Application\chrome.exe").VersionInfo.ProductVersion -
3
Android端末も更新する
会社支給のAndroid端末は、Google Playでの更新を促します。MDMで配信を管理している場合は、配信の設定と進み具合を確認してください。Android版の版番号と配信時期は、Googleのリリース告知で確認します。
-
4
更新が済むまで不審なリンクを避ける
更新が間に合わない端末の利用者には、メールやチャットで届いた不審なリンクを開かないよう周知します。
すぐ更新できないとき
更新をすぐに適用できない端末では、業務に必要なサイト以外の閲覧を控え、出どころの分からないリンクを開かないようにします。ただし、これは暫定の対処で、修正版への更新に代わるものではありません。回避策の有無はGoogleのリリース告知も確認してください。
背景
Chromeは、業務システムのSaaSや社内ポータルを開く入口として、多くの組織で標準のブラウザーになっています。ブラウザーはメールやチャットのリンクから外部のページを開く場所でもあるため、ページの閲覧がそのまま端末への侵入口になりえます。Chromeは通常、Stableチャンネルの更新で複数の脆弱性をまとめて修正します。今回もその形で、12件が157.0.8103.38の1本で直ります。
12件の中身を見ると、メモリ管理の誤りであるuse after freeが6件、バッファオーバーフローが1件あります。ANGLEはOpenGL ESの呼び出しをOSごとのグラフィックスAPIに変換する層で、このうち2件が見つかりました。FileSystemとDevToolsには、認可の確認が正しく働かない脆弱性が3件含まれます。
よくある質問
Q.深刻度がMediumの3件は、後回しにしてよいですか。
Q.EdgeなどChromium系のほかのブラウザーも影響を受けますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Chrome |
157.0.8103.38 以上 157.0.8103.38 未満 |
157.0.8103.38 |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ修正版は配布版ごとに違うので、リンク先で確かめてください。
- Debian DEBIAN-CVE-2026-121148 chromium
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Use after free in ANGLE in Google Chrome prior to 157.0.8103.38 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High)
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- patch chrome-cve-admin@google.com
- REDHAT Red Hat
- web chrome-cve-admin@google.com
- web nvd.nist.gov
- web github.com