Chromeの脆弱性4件、修正版157.0.8103.78が公開
Chromeに、細工されたHTMLページからサンドボックス外のコード実行につながる脆弱性が4件あり、CVSS v3はいずれも9.6です。157.0.8103.78以降に更新し、ブラウザーを再起動して版を確認してください。
同じ発表の脆弱性 7 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
急ぎ度: 早めに
実際の攻撃で悪用された確認は示されていませんが、CVSS v3が9.6の脆弱性が4件あり、修正版157.0.8103.78がすでに出ているためです。
関係があるか
社内でChromeを使っているすべての組織が対象です。管理端末の台数が多いほど、更新の漏れと再起動の遅れが残りやすくなります。Android版のChromeを業務で使っている場合は、スマートフォンも確認の対象になります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Google Chrome（デスクトップ版） | 157.0.8103.78より前 | 157.0.8103.78 |
| Google Chrome（Android版） | 157.0.8103.78より前。Android版が対象なのはSkiaの1件（CVE-2026-126846）。ほかの3件は版の記載のみで、対象のOSは分かれていません | 157.0.8103.78 |
確かめ方
- 1Chromeのアドレス欄に
chrome://versionと入力し、表示された版が157.0.8103.78以上かを見ます。 - 2更新を配った端末は、資産管理ツールや管理コンソールで、版が古いままの端末と、更新後に再起動していない端末を洗い出します。
- 3Android端末は、ストアのアプリ情報でChromeの版を確認します。
何が起きたか
Chromeの157.0.8103.78より前の版に、細工されたHTMLページを使ってブラウザーのサンドボックスの外でコードを実行されるおそれのある脆弱性が4件ありました。サンドボックスはウェブページの処理を閉じ込める仕組みで、その外に出られると端末本体への影響が現実の問題になります。4件はいずれも2026年11月12日に公表され、修正版157.0.8103.78が出ています。CWEはCWE-416、CWE-59、CWE-122の3種類です。
- CVE-2026-126885: ServiceWorkerのuse after free（解放済みメモリの再利用）で、サンドボックス外のコード実行につながります（CVSS v3は9.6、Chromiumの深刻度はCritical）
- CVE-2026-126846: Android版ChromeのSkiaにあるuse after freeで、サンドボックス外のコード実行につながります（CVSS v3は9.6、Chromiumの深刻度はCritical）
- CVE-2026-126859: FileSystemのLink following（リンクの追跡）で、サンドボックス外のコード実行につながります（CVSS v3は9.6、Chromiumの深刻度はHigh）
- CVE-2026-126912: Skiaのバッファーオーバーフローで、サンドボックス外のコード実行につながります（CVSS v3は9.6、Chromiumの深刻度はHigh）
CVSSは4件とも同じ9.6ですが、Chromiumの深刻度はCriticalが2件、Highが2件です。更新の優先度を分ける必要はなく、同じ修正版で4件とも直ります。
攻撃の流れ
-
1
細工ページを用意
攻撃者が、脆弱性を突くよう細工したHTMLページを用意します。
-
2
利用者が閲覧
利用者が、更新前のChromeでそのページを開きます。CVE-2026-126859では、利用者をだます働きかけも前提になります。
-
3
メモリの不具合
ServiceWorker、Skia、FileSystemの処理で、メモリやリンクの扱いの不具合が引き起こされます。
-
4
サンドボックス外
ブラウザーの閉じ込めの外で、攻撃者の選んだコードが実行されます。
どう悪用されるか
4件とも、攻撃者はネットワーク越しに仕掛けられ、事前のログインや権限は要りません。ただし、利用者が細工されたHTMLページを開く操作が必要です。CVE-2026-126859は、これに加えて利用者をだます働きかけ（ソーシャルエンジニアリング）が前提になります。
CVE-2026-126885のCVSSベクターでは、影響範囲が変わる（スコープが変更になる）うえ、機密性・完全性・可用性とも影響はHighです。ブラウザーの閉じ込めを抜けて端末側で処理が動くため、情報の読み取り、改ざん、停止までが想定される被害です。ほかの3件も同じ9.6が付いています。
今すぐやること
-
1
Chromeを修正版に更新して再起動する
デスクトップ版は157.0.8103.78以降に更新し、ブラウザーを再起動します。自動更新が入っていても、再起動するまで古い版で動き続けることがあります。業務で長時間開きっぱなしの端末は、再起動を利用者に促します。
-
2
版が古い端末を洗い出す
資産管理ツールや管理コンソールで、157.0.8103.78未満の端末と、更新後に再起動していない端末を抽出し、個別に更新を促します。Linuxでは版を確認するだけなら次のコマンドが使えます。
google-chrome --version -
3
Android端末も更新する
Skiaの1件はAndroid版Chromeが対象です。業務用スマートフォンは、ストアでChromeが157.0.8103.78以降になっているかを確認します。
-
4
Chromiumベースのほかのブラウザーを確認する
EdgeなどChromiumを土台にした製品は、各提供元の告知で、この4件への対応版が出ているかを確認します。
-
5
Googleの告知で更新全体の内容を見る
Chrome Releasesの安定版の告知で、同じ更新に含まれるほかの修正も確認します。Chromiumの課題管理ページ（課題番号568699166）には、さらに詳しい情報が載る可能性があります。
すぐ更新できないとき
回避策の案内は確認できていません。修正版を当てるまでのつなぎとして、不審なメールやサイトのリンクを開かないよう、利用者に周知します。回避策の有無は、Googleの告知で確認してください。
背景
Chromeは、社内ではほとんどの業務システムやSaaSを開く入口になるため、端末上の更新漏れがそのまま攻撃経路になります。ウェブページの処理をサンドボックスに閉じ込める設計なので、ページ内のコード実行だけでは端末は奪えず、攻撃者は閉じ込めの外に出る脆弱性を重ねる必要があります。今回の4件はいずれもその外に出ることを指しており、1件でも決まれば影響の質が変わります。
Skiaはページの描画に使われるグラフィックスのライブラリーで、ほぼすべてのページ表示が通る処理です。ServiceWorkerは、ページとは別にバックグラウンドでスクリプトを動かす仕組みで、ブラウザーを閉じても残る登録を持ちます。どちらもメモリの扱いに関わる部分で、use after freeやバッファーオーバーフローといった型の脆弱性が出やすい領域です。
よくある質問
Q.Edgeなど、Chrome以外のブラウザーも更新が必要ですか。
まだ分かっていないこと
- CVE記録には、実際の攻撃での悪用や攻撃コードの公開に触れた記述がありません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| GoogleChrome |
157.0.8103.78 未満→ 157.0.8103.78 |
157.0.8103.78 |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の記録です。修正版は配布版ごとに違うので、リンク先で確かめてください。
- Debian DEBIAN-CVE-2026-126885 chromium この記録に修正版の記載なし
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Use after free in ServiceWorker in Google Chrome prior to 157.0.8103.78 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical)
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- CHROME chromereleases.googleblog.com
- REDHAT Red Hat
- web chrome-cve-admin@google.com
- web chrome-cve-admin@google.com
- web nvd.nist.gov
- web github.com