本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
悪用あり 高 8.8 急ぎ度: 至急

ChromeのV8に脆弱性、悪用確認済み。152.0.7977.82で修正

ChromeのJavaScriptエンジンV8に、細工されたウェブページでコードを実行されてしまう脆弱性があり、実際の攻撃での悪用が確認されています。社内でChromeやChromiumベースのブラウザーを使っている組織は、すべて対象です。修正版へ更新し、ブラウザーを再起動して反映します。

CVE-2026-85046 公開 生成 AI で作成
画像は生成 AI で作成したイメージです

急ぎ度: 至急

KEVに登録されて悪用が確認済みで、CVSS v3は8.8、Chromeの修正版もすでに出ているためです。

関係があるか

業務でChromeを使うすべての組織が対象です。KEVの説明では、Chromiumを使うEdgeやOperaなどのブラウザーにも影響しうるとされています。

製品影響を受ける版直った版
Google Chrome（V8） 152.0.7977.82より前の版 152.0.7977.82
Microsoft Edge、Operaなど、Chromiumを使うブラウザー 影響を受ける版の範囲は、各ベンダーの案内で確認が必要です 各ベンダーが案内する版（Chromiumの修正を取り込んだ版）

確かめ方

  1. 1Chromeのアドレスバーにchrome://versionを入力して開き、先頭に表示される版が152.0.7977.82以降か確認します。
  2. 2Edgeならedge://version、そのほかのChromiumベースのブラウザーも同様の画面で版を確認します。
  3. 3管理端末が多い場合は、資産管理ツールやMDMでブラウザーの版を一覧にし、152.0.7977.82より前の端末を洗い出します。

何が起きたか

Chromeに搭載されているJavaScriptエンジンV8に、細工されたHTMLページを通じて、攻撃者のコードがブラウザーのサンドボックス内で実行されてしまう脆弱性が見つかりました。

この脆弱性は、実際の攻撃で悪用されたことが確認されています。

修正版がすでにあり、悪用も確認されているため、筆者は通常の更新サイクルを待たずに配布すべき部類だと考えます。

原因は、V8がデータの種類を取り違えて処理してしまう型の取り違え（type confusion、CWE-843）です。Chromiumプロジェクトの深刻度はHigh、CVSS v3は8.8で、KEVには2026年9月4日に追加されました。V8のリポジトリには修正のコミットがあり、外部の研究者による技術的な解説も公開されています。

攻撃の流れ

  1. 1

    細工したページ

    攻撃者が、V8の脆弱性を突く細工をしたHTMLページを用意します。

  2. 2

    利用者が閲覧

    利用者が、そのページを脆弱な版のブラウザーで開きます。

  3. 3

    型の取り違え

    V8がデータの種類を取り違えて処理し、メモリの扱いが狂います。

  4. 4

    コード実行

    攻撃者のコードが、ブラウザーのサンドボックス内で動きます。

公開されている情報をもとにした流れの例です。

どう悪用されるか

攻撃にログインなどの認証は要らず、インターネット経由で仕掛けられます。ただし、利用者が細工されたページを開く操作が必要です。攻撃の複雑さは低く、条件を整えるのに特別な手間はかからないとされています。

成功すると、サンドボックス内で任意のコードが実行されます。CVSSでは機密性・完全性・可用性のいずれも影響が大きいと評価されました。一般に、サンドボックスの外へ出て端末そのものを操作するには別の脆弱性が必要です。それでも、ブラウザー内で動く攻撃コードは、そのブラウザーで開いている情報を狙えます。

今すぐやること

  1. 1

    Chromeを修正版に更新して再起動する

    Chromeを修正版に更新し、ブラウザーを完全に閉じて開き直します。更新を取得しただけでは、再起動するまで反映されません。

  2. 2

    ほかのChromiumベースのブラウザーを洗い出す

    EdgeやOperaなど、社内で使われているブラウザーを確認し、各ベンダーの告知に沿って更新します。

  3. 3

    管理下の端末に更新を配布して、適用状況を確かめる

    資産管理ツールやMDMの更新ポリシーで修正版を配布し、版の一覧で未適用の端末を追います。長期間ブラウザーを起動したままの端末は、再起動を促します。

    google-chrome --version
  4. 4

    KEVの期限を目安に完了時期を決める

    米国の政府機関に求められた対応期限は2026年9月18日です。日本の組織に義務はありませんが、完了の目安に使えます。

すぐ更新できないとき

ベンダーが案内する回避策は、与えられた情報にはありません。更新がすぐにできない端末では、更新できるまで、業務に不要なサイトや見知らぬリンク先の閲覧を控えさせ、Webフィルタリングで閲覧先を絞る応急対応にとどめます。

背景

V8はChromeのJavaScriptエンジンで、ウェブページ上のプログラムを実行する部分です。EdgeやOperaなど、Chromiumを土台にしたブラウザーも同じエンジンを使います。社内では、業務システムやクラウドサービスの管理画面を開く窓口になっているため、ここで任意のコードが動くと、ブラウザーに保存された認証情報や開いているセッションが狙われます。

JavaScriptエンジンの型の取り違えは、データの種類を誤って扱うことでメモリの読み書きが狂い、コード実行につながる脆弱性の典型です。今回の脆弱性では、悪用されるのがサンドボックス内にとどまるため、攻撃者が端末全体を握るには別の脆弱性との組み合わせが要ります。その組み合わせが実際にあったかどうかは、現時点では分かっていません。

よくある質問

Q.ブラウザーの自動更新が有効なら、何もしなくてよいですか。
A.更新は自動で取得されますが、反映にはブラウザーの再起動が要ります。起動したまま何日も使っている端末では、未適用のままのことがあります。chrome://versionで版を確認し、必要なら再起動を促してください。

まだ分かっていないこと

  • 攻撃者が誰か、攻撃の規模や標的、サンドボックス外へ出る別の脆弱性との組み合わせがあったかは、分かっていません。KEVでは、ランサムウェアでの使用は不明（Unknown）とされています。
  • EdgeやOperaなど、Chrome以外のブラウザーの修正版の番号は分かっていません。各ベンダーの告知で確認してください。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

Type confusion in V8 in Google Chrome prior to 152.0.7977.82 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High)

出典: Google Chrome Releases NVD GitHub Advisory CISA KEV

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく