GoogleはChromeの緊急セキュリティアップデートをリリース：すでに悪用されているゼロデイ脆弱性を修正、ユーザーに直ちのアップグレードを促す

BlockBeatsのニュース、11月10日、Googleは2026年11月9日にデスクトップ版Chromeブラウザ向けに緊急安定チャネルアップデートをリリースし、すでに野放しで悪用されているゼロデイ脆弱性を含む9件のセキュリティ欠陥を修正した。今回のアップデートにより、WindowsおよびMacプラットフォームのChromeバージョンは157.0.8103.50/.51に、Linuxプラットフォームは157.0.8103.50に引き上げられ、今後数日から数週間かけて段階的に配信される予定である。

今回のアップデートの核心的な焦点は、CVE-2026-125350として番号付けされた高危険度の脆弱性であり、XMLコンポーネントにおける解放後使用（use-after-free）の類型である。Googleは公告で「CVE-2026-125350が野放しで悪用されていることを認識している」と明言したが、具体的な攻撃手法、被害規模、攻撃活動の帰属については開示していない。この脆弱性は2026年11月6日に匿名の研究者によって報告され、Googleが修正パッチをリリースするまでわずか3日間の間隔であった。

全9件の修正項目のうち、7件が「高危険度」レベル、2件が「中危険度」レベルである。CVE-2026-125350以外に、もう一つの高危険度脆弱性CVE-2026-125346も同様にXMLコンポーネントの解放後使用問題であり、Neonix SecurityのArni Hardarsonによって2026年10月12日に報告されたが、GoogleはCVE-2026-125350のみを野放しで悪用されている脆弱性としてマークした。残りの高危険度脆弱性は、WebGLの未初期化リソース、FileSystemの不適切な認可、コンポジタのバッファオーバーフロー、GPUの範囲外書き込み、V8の型混同などを含み、その大半はGoogleの内部セキュリティチームによって発見された。

Googleは同時に、同日リリースされたAndroid版Chrome（157.0.8103.50）がデスクトップ版と同じセキュリティ修正を含むことを確認し、例外の説明はしていない。拡張安定チャネル（Extended Stable）のユーザーは、11月9日に別途リリースされたアップデートをインストールする必要があり、WindowsおよびMacバージョンは156.0.8078.96であり、このアップデートも同様にCVE-2026-125350を高危険度修正項目に含めている。

香港政府電脳保安事故調整センター（GovCERT.HK）は同日セキュリティ警報を発令し、影響を受けるシステムをChrome 157.0.8103.50以前のバージョンと定義し、関連する脆弱性の悪用に成功した場合、リモートコード実行、サービス拒否、改ざん、またはセキュリティ制限のバイパスを引き起こす可能性があると指摘した。香港電脳保安事故調整センター（HKCERT）は今回のアップデートのリスクレベルを「極めて高リスク」と評価した。

Googleは公告の中で、脆弱性の詳細とリンクへのアクセスは、ほとんどのユーザーがアップデートを完了するまで制限されたままになる可能性があると説明している。同社はユーザーに対し、「設定 → Chromeについて」から手動でアップデートを確認して実行し、アップデート完了後はパッチを有効にするためにブラウザを再起動するよう推奨している。依然としてChrome 157.0.8103.50より前のバージョンを実行しているユーザーにとって、現在の最優先の操作はバージョン番号を確認し、直ちに再起動してアップグレードを完了することである。