重大 9.6 急ぎ度: 早めに

Chrome 157で脆弱性213件を修正、更新は再起動まで

Google Chrome 157の更新に、213件のセキュリティ修正が含まれています。細工されたページや拡張機能からサンドボックスの外でコードを実行されかねない脆弱性もあります。Chromeを業務で使う組織は、版を確認して更新し、再起動まで済ませてください。

CVE-2026-121202 公開 11月4日 6:38 更新 9:34 執筆・監修: 佐々木航人が監修しながらAIを活用して執筆

同じ発表の脆弱性 7 件

急ぎ度: 早めに

EPSSはCVE-2026-121202で0.299%と低めですが、CVSS v3は7件とも9.6で、告知にはCriticalの修正も7件あります。修正版も公開済みなので、早めの更新が妥当です。

関係があるか

業務でGoogle Chromeを使っている組織が対象です。更新が止まっている端末や、再起動されないまま使われ続けている端末が当てはまります。

製品	影響を受ける版	修正版
Google Chrome（Windows・Mac・Linux）	157.0.8103.38より前	157.0.8103.38（Windows・Macは157.0.8103.38または.39）

確かめ方

1Chromeのアドレス欄にchrome://versionと入力し、先頭に表示される版を確認します。157.0.8103.38未満なら更新が必要です。
2管理コンソールや資産管理ツールを使っている場合は、端末ごとのChromeの版を一覧で出し、基準未満の端末を洗い出します。

何が起きたか

Googleは2026年11月3日、Chrome 157をWindows・Mac・Linuxの安定版として公開しました。告知によると、この更新には213件のセキュリティ修正が含まれ、深刻度の内訳はCritical 7件、High 77件、Medium 75件、Low 54件です。

このページでは、そのうちCVEの記録でCVSS v3が9.6と評価された7件を説明します。どれもUse After Free（CWE-416）で、悪用されるとブラウザーの隔離機構であるサンドボックスの外で、任意のコードを実行される恐れがあります。

CVE-2026-121202: Autofillのメモリ誤りで、細工されたHTMLページからコードを実行される恐れがあります
CVE-2026-121073: Networkのメモリ誤りで、細工されたネットワーク通信からコードを実行される恐れがあります
CVE-2026-121077: Mobileのメモリ誤りで、細工されたHTMLページからコードを実行される恐れがあります
CVE-2026-121131: Mobileのメモリ誤りで、細工されたChrome拡張機能からコードを実行される恐れがあります
CVE-2026-121189: Browserのメモリ誤りで、細工されたHTMLページからコードを実行される恐れがあります
CVE-2026-121250: Extensionsのメモリ誤りで、細工されたChrome拡張機能からコードを実行される恐れがあります
CVE-2026-121257: TabStripのメモリ誤りで、細工されたChrome拡張機能からコードを実行される恐れがあります

CVSS v3は7件とも9.6ですが、Chromiumが付けた深刻度はHigh（CVE-2026-121131、CVE-2026-121250）、Medium（CVE-2026-121202、CVE-2026-121077、CVE-2026-121257）、Low（CVE-2026-121073、CVE-2026-121189）とばらついています。告知でCriticalとされた7件は、この7件とは別です。1件ずつ選んで対応する話ではなく、157へ更新すれば213件がまとめて修正されます。

攻撃の流れ

1

細工物に接触

標的の利用者のChromeが、細工されたページ・拡張機能・通信のいずれかを処理します。
2

メモリ誤りを悪用

解放済みのメモリの再利用や範囲外書き込みが起き、Chromeの動作が乗っ取られます。
3

サンドボックス外

ブラウザーの隔離機構の外で、任意のコードが実行されます。
4

端末への影響

端末上のデータの閲覧・改ざんや、サービスの停止につながる恐れがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用の条件は、CVEごとに説明文の書き方が違います。いずれも遠隔の攻撃者が前提です。

CVE-2026-121202とCVE-2026-121077: 社会工学を使って利用者を誘導し、細工されたHTMLページを開かせる
CVE-2026-121131とCVE-2026-121250: 社会工学を使って利用者を誘導し、細工されたChrome拡張機能を使わせる
CVE-2026-121257: 細工されたChrome拡張機能を経由する
CVE-2026-121189: 細工されたHTMLページを経由する
CVE-2026-121073: 細工されたネットワーク通信を経由する

CVE-2026-121202のCVSSでは、攻撃元がネットワーク、攻撃の複雑さが低、必要な権限なし、利用者の操作が必要とされています。

悪用に成功すると、サンドボックスの外でコードを実行されます。このCVEの評価では、機密性・完全性・可用性の影響がいずれも高とされています。業務でChromeにログインしたままのSaaSや、社内システムの情報が置かれた端末では、被害が端末の外へ広がる余地があります。

今すぐやること

1

Chromeを修正版に更新する

157.0.8103.38以降に更新します。更新後はChromeを再起動してください。
2
更新後の版を確認する

chrome://versionで版を確認します。Linuxでは、端末から次のコマンドでも確認できます。
```
google-chrome --version
```
3

管理下の端末へ配布状況を確かめる

更新の配布設定が止まっていないか、長期間再起動されていない端末がないかを、管理コンソールや資産管理ツールで見ます。未更新の端末は、利用者に再起動を案内します。
4

ベンダーの告知で詳細を確かめる

Chrome Releasesの告知に、213件の修正の一覧があります。Criticalの7件を含む、このページにない修正の内容はそこで確認できます。

すぐ更新できないとき

修正版を当てられない端末では、つなぎとして、見知らぬサイトや不審なリンクを開かないようにします。出どころの分からないChrome拡張機能は入れず、入っているものも不要なら外してください。このページの7件のうち3件は、拡張機能を経由するとされています。Chrome自体を更新するまで、この措置は一時しのぎにとどまります。

背景

Chromeは、多くの企業でSaaS・社内Webシステム・メールの画面を開く入口になっています。端末に最も長く開かれているソフトの一つなので、ブラウザー内で起きたコード実行は、保存されたログイン情報や業務データの近くで起きます。そのためChromeは、ページの処理をサンドボックスの中に閉じ込める設計にしています。このページの7件は、いずれもその「外」でコードが動く恐れがあるとされるものです。

7件は、使い終わったメモリを再び参照してしまうUse After Freeです。ブラウザーのように大量のメモリ操作を行う、C++などで書かれたソフトでは、この型の誤りが繰り返し見つかります。今回は、Autofill・Network・Browser・Extensions・TabStripなど、別々の機能に分散しています。1か所の修正で済む話ではなく、版を上げて一括で修正する形です。

よくある質問

Q.Chromeは自動更新のはずですが、手作業は要りますか。

A.更新自体は自動で取得されることが多いものの、ブラウザーを再起動するまで反映されません。何日も起動したままの端末や、更新を止めている端末では修正版が適用されていないことがあります。版を確認し、必要なら再起動を案内してください。

Q.EdgeなどChromiumを使う他のブラウザーも対象ですか。

A.今回確認できた情報は、Google Chromeの版番号についてのものです。Chromiumを基にした他のブラウザーが影響を受けるかどうかは、それぞれの提供元の告知で確認してください。

2026年11月6日訂正：題と本文を修正しました。「脆弱性8件」としていましたが、Chrome 157の告知の修正は213件です。10月の告知の修正であるCVE-2026-120931も、このページから外しました。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
Google	Chrome	157.0.8103.38 以上 157.0.8103.38 未満	157.0.8103.38

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ修正版は配布版ごとに違うので、リンク先で確かめてください。

Debian DEBIAN-CVE-2026-121202 chromium

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Use after free in Autofill in Google Chrome prior to 157.0.8103.38 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium)

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

advisory Chrome Releases「Stable Channel Update for Desktop」（2026年11月3日）
patch chrome-cve-admin@google.com
patch chrome-cve-admin@google.com
REDHAT Red Hat
web nvd.nist.gov
web github.com