悪用あり高 8.8 急ぎ度: 至急

Chromeに悪用確認済みの脆弱性、157.0.8103.50で修正

Chromeに、細工されたHTMLページ経由でサンドボックス内のコードを実行される脆弱性があり、実際の攻撃も確認されています。社内のChromeを157.0.8103.50以降に更新し、Edgeなど同じ基盤のブラウザーは各社の案内を確認してください。

CVE-2026-125350 公開 4:25 更新 4:25 執筆・監修: 佐々木航人が監修しながらAIを活用して執筆

同じ発表の脆弱性 2 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

CVE-2026-125350 悪用あり高 8.8
CVE-2026-125347 重大 9.6

急ぎ度: 至急

KEVに2026年11月10日付で追加され実際の攻撃が確認されており、Chromiumの重大度もHighで、修正版がすでに出ているためです。

関係があるか

Chromeを業務端末で使っている組織が対象です。KEVの説明では、Chromiumを基盤にするMicrosoft EdgeやOperaなど、ほかのブラウザーにも影響しうるとされています。

製品	影響を受ける版	修正版
Google Chrome	157.0.8103.50より前の版	157.0.8103.50
Microsoft Edge、Operaなど Chromiumを基盤とするブラウザー	影響しうるとKEVに記載。対象の版は各ベンダーの告知で確認が必要	各ベンダーの告知で確認が必要

確かめ方

1Chromeのアドレスバーにchrome://versionと入力し、先頭に表示される版が157.0.8103.50以上か確かめます。
2端末が多い場合は、IT資産管理ツールやブラウザーの管理コンソールで、Chromeの版が157.0.8103.50未満の端末を一覧にします。
3Edge、Operaなど別のChromium系ブラウザーを許可している場合は、それぞれの版も同じ手順で洗い出します。

何が起きたか

Chromeに、XMLを処理する部分でメモリの扱いを誤る脆弱性があります。悪用されると、攻撃者がブラウザーのサンドボックス内で任意のコードを実行できます。

この脆弱性は、実際の攻撃で悪用されたことが確認されています。

種類はuse-after-free（CWE-416）で、解放済みのメモリを参照し続けることで起きます。Chromiumプロジェクトが付けた重大度はHighです。Googleは2026年11月9日付のデスクトップ向け安定版の更新情報で、この件の修正版を案内しています。KEVへの追加は11月10日でした。

攻撃の流れ

1

ページを細工

攻撃者が、脆弱性を突くよう細工したHTMLページを用意します。
2

旧版が処理

157.0.8103.50より前のChromeが、そのページに含まれるXMLを処理します。
3

メモリの誤参照

解放済みのメモリが再び参照され、メモリの状態が壊れます。
4

コードが動く

ブラウザーのサンドボックス内で、攻撃者のコードが実行されます。

公開されている情報をもとにした流れの例です。

どう悪用されるか

ネットワーク越しの攻撃者が、細工したHTMLページを使う形で悪用されます。ページをブラウザーが処理する場面が起点になるため、Webサイトの閲覧や、リンク先を開く操作の多い部署ほど露出しやすいと考えられます。

悪用に成功すると、サンドボックス内で任意のコードを実行されます。サンドボックスはブラウザーの処理をOSの本体から隔てる仕組みで、記載上はその内側にとどまる被害です。ただ、筆者は、実際の攻撃が確認されている以上、内側で済む話として後回しにする理由にはならないと思っています。

今すぐやること

1
Chromeを修正版に更新する

Chromeのメニューから「設定」「Chromeについて」を開くと、更新の確認と適用が始まります。適用後はブラウザーの再起動が必要なので、開きっぱなしの端末には再起動を促します。
```
chrome://version
```
2

未更新の端末を洗い出して更新を急ぐ

管理コンソールや資産管理ツールで、Chromeの版が修正版より古い端末を抽出します。長く再起動していない端末や、更新を遅らせる設定にした端末を優先して確認します。
3

Edgeなど別のChromium系ブラウザーも更新する

Microsoft EdgeやOperaなどを使っている場合は、各ベンダーの告知で、この脆弱性に対応した版を確認して更新します。
4

更新の期限を決める

KEVでは、米国の政府機関に対する対応期限が2026年11月24日と示されています。一般の企業はこの日を超えない範囲で、実際にはそれより早く、全端末の更新完了を目標にします。更新が遅れた端末で不審な挙動がないかも、セキュリティ製品のアラートで確認します。

すぐ更新できないとき

更新が完了するまでのつなぎとして、更新できない端末のWeb閲覧を業務に必要なサイトに絞る、プロキシーのカテゴリ制限を強めるといった運用で、危険なページに触れる機会を減らせます。根本的な解決にはならないため、修正版への更新は必ず行います。

背景

Chromeは、メール、SaaS、社内の業務システムのWeb画面まで、社員が日常的に使う入口になるブラウザーです。ブラウザーの脆弱性は、パスワードやセッションが集まる場所で任意のコードが動くことにつながるため、情シスが全端末の版を把握しておく必要があります。

今回の脆弱性はXMLの処理部分にあります。ChromiumはEdgeやOperaなど複数のブラウザーが共有する基盤のため、KEVも、Chrome以外の製品に影響しうると説明しています。Chromeだけを更新して終わりにせず、社内で許可しているブラウザーの種類を洗い出しておくと、対応の漏れが減ります。

よくある質問

Q.スマートフォンのChromeも対象ですか。

A.脆弱性の記録は、対象を「157.0.8103.50より前のGoogle Chrome」とだけ記しています。参照されているGoogleの告知はデスクトップ向けの安定版更新です。AndroidとiOSの版は、Googleの各プラットフォーム向け告知で確認してください。

まだ分かっていないこと

悪用した攻撃者、標的、攻撃の規模は公表されていません。KEVではランサムウェア攻撃での利用の有無も「Unknown」とされています。
サンドボックスの外へ出る別の脆弱性と組み合わせて悪用されたかどうかは、記載がありません。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
Google	GoogleChrome	157.0.8103.50 未満→ 157.0.8103.50	157.0.8103.50

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の記録です。修正版は配布版ごとに違うので、リンク先で確かめてください。

Debian DEBIAN-CVE-2026-125350 chromium この記録に修正版の記載なし

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Use after free in XML in Google Chrome prior to 157.0.8103.50 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High)

出典: Google Chrome Releases NVD GitHub Advisory CISA KEV

同じ話題を、ほかのメディアでも

参照URL

CHROME-RELEASES Stable Channel Update for Desktop
web chromereleases.googleblog.com
web issues.chromium.org
web nvd.nist.gov
web github.com
web cisa.gov