本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 9.6 急ぎ度: 早めに

Chromeの脆弱性12件、コード実行の恐れ。修正版あり

Google Chromeに、細工されたWebページを閲覧するとサンドボックスの外でコードを実行されうる脆弱性が12件見つかりました。157.0.8103.38より前の端末が対象のため、修正版への更新を全端末で早めに済ませてください。

CVE-2026-121156 公開 更新 執筆・監修: 佐々木 航 人が監修しながらAIを活用して執筆

同じ発表の脆弱性 12 件

画像は生成 AI で作成したイメージです

急ぎ度: 早めに

12件ともCVSS v3は9.6で、サンドボックス外でのコード実行につながる脆弱性ですが、修正版157.0.8103.38がすでに公開されています。

関係があるか

業務でGoogle Chromeを使う組織すべてが対象です。Windowsのパソコンだけでなく、Android端末のChromeも含まれます。

製品影響を受ける版修正版
Google Chrome（12件に共通。OSの指定がない脆弱性が7件） 157.0.8103.38より前 157.0.8103.38
Google Chrome（Android版。4件がAndroid版で発生） 157.0.8103.38より前 157.0.8103.38
Google Chrome（Windows版。1件がWindows版で発生） 157.0.8103.38より前 157.0.8103.38

確かめ方

  1. 1パソコンでは、Chromeのアドレスバーにchrome://versionと入力して版を確認します。157.0.8103.38より小さければ対象です。
  2. 2Android端末では、Google PlayストアでChromeの更新が残っていないか、アプリの情報で版を確認します。
  3. 3管理している端末が多い場合は、資産管理ツールやMDMのレポートで、Chromeの版が157.0.8103.38未満の端末を一覧にします。
  4. 4ChromiumベースのほかのブラウザーやChromeを組み込んだ製品を使っている場合は、各ベンダーの告知で、今回の修正が取り込まれた版を確認します。

何が起きたか

Google Chromeに、ブラウザーの描画やグラフィックスの処理を中心としたメモリ関連の脆弱性が12件見つかりました。悪用されると、ブラウザーのサンドボックスの外で、攻撃者が任意のコードを実行できる恐れがあります。

12件の内訳は次のとおりです。Chromiumの重大度はCritical（6件）とHigh（6件）に分かれますが、CVSS v3の値はどれも9.6です。

  • CVE-2026-121156: Dawnのバッファオーバーフロー。サンドボックス外でコードを実行される恐れ（CVSS v3は9.6）
  • CVE-2026-121229: Android版のANGLEでのメモリ破壊。サンドボックス外でコードを実行される恐れ（CVSS v3は9.6）
  • CVE-2026-121246: Android版のWebGLでのuse after free。サンドボックス外でコードを実行される恐れ（CVSS v3は9.6）
  • CVE-2026-121035: Prerenderでのuse after free。サンドボックス外でコードを実行される（CVSS v3は9.6）
  • CVE-2026-121126: Coreでのuse after free。サンドボックス外でコードを実行される恐れ（CVSS v3は9.6）
  • CVE-2026-121247: Android版のDawnのバッファオーバーフロー。サンドボックス外でコードを実行される恐れ（CVSS v3は9.6）
  • CVE-2026-121074: Android版のGPUでのメモリ破壊。サンドボックス外でコードを実行される恐れ（CVSS v3は9.6）
  • CVE-2026-121071: FileSystemでの認可の不備。サンドボックス外でコードを実行される恐れ（CVSS v3は9.6）
  • CVE-2026-121185: PictureInPictureでのuse after free。サンドボックス外でコードを実行される（CVSS v3は9.6）
  • CVE-2026-121037: Windows版のANGLEでの境界外書き込み。サンドボックス外でコードを実行される恐れ（CVSS v3は9.6）
  • CVE-2026-121086: Skiaのバッファオーバーフロー。サンドボックス外でコードを実行される（CVSS v3は9.6）
  • CVE-2026-121089: WebGPUでのuse after free。サンドボックス外でコードを実行される恐れ（CVSS v3は9.6）

修正はすべて157.0.8103.38にまとまっています。重大度の違いで対応を分ける必要はありません。

攻撃の流れ

  1. 1

    細工ページを用意

    攻撃者が、脆弱性を突くように作り込んだHTMLページを用意します。

  2. 2

    利用者が閲覧

    利用者が、そのページを古い版のChromeで開きます。一部の脆弱性では、利用者を誘導する手口も前提です。

  3. 3

    メモリを破壊

    描画やグラフィックスの処理で、メモリの誤った扱いが起きます。

  4. 4

    サンドボックス外

    ブラウザーの隔離の外で、攻撃者のコードが実行される恐れがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

攻撃者はネットワーク越しに仕掛けられ、事前のログインや権限は要りません。ただし、細工されたHTMLページを利用者が閲覧する操作が必要です。最も重い評価のCVE-2026-121156では、ほかに条件のない攻撃のしやすさ（複雑さが低い）と評価されています。

CVE-2026-121071（FileSystem）とCVE-2026-121185（PictureInPicture）は、ソーシャルエンジニアリングを使う攻撃者が前提です。利用者をだましてページ上で操作させる必要があり、閲覧だけで成立する脆弱性よりは一段手間がかかります。

悪用されると、サンドボックスの外でコードを実行され、端末上の情報の漏えい、改ざん、停止につながる恐れがあります。ブラウザーはメールやSaaSの管理画面を開いたままの端末で動くため、ログイン済みの業務アカウントにも影響が及びかねません。

今すぐやること

  1. 1

    Chromeを修正版に更新する

    パソコンのChromeを157.0.8103.38以降に更新します。更新後にchrome://versionで版を確認し、完了を確かめます。

  2. 2

    Android端末のChromeも更新する

    Google PlayストアでChromeを更新します。MDMで管理している端末は、配布の設定や更新状況のレポートを確認します。Android版にだけ当てはまる脆弱性が4件あります。

  3. 3

    未更新の端末を洗い出す

    資産管理ツールやMDMで、版が157.0.8103.38未満の端末を一覧にします。長く再起動していない端末や、自動更新が止められている端末から先に当たります。

  4. 4

    ほかのブラウザーや組み込み製品を確認する

    Chromiumをもとにしたブラウザーや、Chromeを組み込んだ業務アプリを使っている場合は、各ベンダーの告知で、今回の修正が取り込まれた版を確認します。

すぐ更新できないとき

更新が遅れる端末では、更新が済むまで、メールやチャットのリンク、不審なサイトを開かないよう周知します。業務に必須のサイト以外の閲覧を控えることも有効ですが、脆弱性そのものをふさぐ手段ではないため、修正版への更新までのつなぎにとどめます。

背景

Chromeは、SaaSや社内システムの管理画面を開く窓口として、多くの端末に入っています。ブラウザーには、悪意のあるページを開いても被害が端末全体に及ばないよう、描画などの処理を隔離するサンドボックスの仕組みがあります。今回の12件は、そのサンドボックスの外でコードを実行される恐れがある点が共通しています。隔離の内側だけで終わらず、端末そのものに影響が及びうるということです。

12件のうち8件は、グラフィックスや描画の処理に関わる部分です。Dawn（WebGPUの実装）が2件、ANGLE（描画命令を各OS向けに変換する層）が2件で、ほかにWebGL、WebGPU、GPU、Skiaが1件ずつあります。メモリの扱いの誤りが原因のものは12件中11件で、FileSystemの1件だけが認可の不備です。

よくある質問

Q.Chromeは自動更新されるので、何もしなくてよいですか。
A.更新ファイルは自動で届きますが、反映にはブラウザーの再起動が必要です。ウィンドウを開いたままにしている端末では、古い版のまま動いていることがあります。chrome://versionで版を確認し、必要なら再起動を促します。
Q.Android版とパソコン版で、対応の優先度は変わりますか。
A.修正版の版番号はどちらも157.0.8103.38で、更新先は同じです。パソコン版はWindowsを含め9件、Android版は4件が影響するため、台数が多いほうから先に更新を進めると効率的です。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類パッケージ影響を受ける版修正版
Google Chrome
157.0.8103.38 以上 157.0.8103.38 未満
157.0.8103.38

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ修正版は配布版ごとに違うので、リンク先で確かめてください。

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

Buffer overflow in Dawn in Google Chrome prior to 157.0.8103.38 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical)

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく