cve-2026-125350

2026年11月9日、Googleはデスクトップ版Chromeブラウザ向けに緊急安定チャネル更新をリリースし、既に悪用されているゼロデイ脆弱性を含む9つのセキュリティ欠陥を修正しました。この更新により、WindowsおよびMacプラットフォームのChromeバージョンは157.8103.5/.51に引き上げられ、Linuxプラットフォームは157.8103.5に引き上げられ、今後数日から数週間の間に段階的に配信される予定です。今回の更新の核心は、CVE-2026-125350という高危険度の脆弱性で、XMLコンポーネントにおける使用後の解放（use-after-free）タイプです。Googleは発表の中で、「CVE-2026-125350が悪用されていることを認識している」と明言しましたが、具体的な攻撃方法、被害の規模、または攻撃活動の帰属については明らかにしていません。この脆弱性は、2026年11月6日に匿名の研究者によって報告され、Googleが修正パッチをリリースするまでの間隔はわずか3日でした。修正項目の全9件のうち、7件が「高危険度」、2件が「中危険度」とされています。CVE-2026-125350の他に、もう一つの高危険度脆弱性CVE-2026-125346もXMLコンポーネントの使用後の解放問題で、Neonix SecurityのArni Hardarsonによって2026年10月12日に報告されましたが、GoogleはCVE-2026-125350のみを悪用されている脆弱性としてマークしました。その他の高危険度脆弱性には、WebGLの未初期化リソース、FileSystemの不適切な権限、合成器のバッファオーバーフロー、GPUの越境書き込み、V8の型混乱などが含まれ、ほとんどはGoogle内部のセキュリティチームによって発見されました。Googleは同日リリースされたAndroid版Chrome（157.8103.5）にもデスクトップ版と同じセキュリティ修正が含まれていることを確認し、例外はないとしています。拡張安定チャネル（Extended Stable）を使用しているユーザーは、11月9日に単独でリリースされた更新をインストールする必要があり、WindowsおよびMac版は156.8078.96で、この更新でもCVE-2026-125350が高危険度の修正項目としてリストされています。香港政府コンピュータセキュリティ事故調整センター（GovCERT.HK）は同日、安全警報を発表し、影響を受けるシステムをChrome 157.8103.5以前のバージョンと定義し、関連する脆弱性の成功した悪用がリモートコード実行、サービス拒否、改ざんまたはセキュリティ制限の回避を引き起こす可能性があると指摘しました。香港コンピュータセキュリティ事故調整センター（HKCERT）は今回の更新のリスクレベルを「極めて高いリスク」と評価しました。Googleは発表の中で、脆弱性の詳細やリンクへのアクセスは、大多数のユーザーが更新を完了するまで制限される可能性があると説明しています。同社はユーザーに対し、「設定 → Chromeについて」を通じて手動で更新を確認し、トリガーすることを推奨しており、更新が完了した後はブラウザを再起動してパッチを有効にする必要があります。現在Chrome 157.8103.5以前のバージョンを実行しているユーザーにとって、最優先の操作はバージョン番号を確認し、すぐに再起動してアップグレードを完了することです。