Google Chrome、最近の3リリースで計1,442件の脆弱性を修正　AIによる報告急増とアップデート自動化の舞台裏

要点

• GoogleはChromeのバージョン149、150、151の3リリースで、計1,442件のセキュリティ脆弱性を修正した。

• バージョン149と150の2回だけで1,072件が修正され、過去23回分のマイルストーンアップデートの合計数を超える規模となった。

• 脆弱性報告の急増には大規模言語モデル（LLM）の台頭があり、AIによってバグ検出プロセスが加速している。

• AIモデル「Gemini」を用いた検証により、13年以上コード内に潜んでいた重大な脆弱性「CVE-2026-3545」が発見・修正された。

• AIによる攻撃や報告の高速化に対抗するため、週2回のセキュリティ更新や、再起動不要なパッチ適用技術の試験導入を進めている。

• Googleは2026年7月30日（現地時間）、Webブラウザ「Chrome」のバージョン149および150において、合計1,072件のセキュリティバグを修正したと発表した。さらに、同発表の前日にあたる水曜日にリリースされたバージョン151でも370件の脆弱性を修正し、最近の3リリースでの修正数は合計1,442件に達した。この修正件数は、過去に実施された23回分の主要アップデートにおける合計修正数を上回る規模だという。

AIの台頭がもたらすバグ報告の急増

今回の大量修正の背景には、大規模言語モデル（LLM、大量のデータからパターンを学習して高度な処理を行う人工知能）の台頭がある。AIによるコード解析や脆弱性診断の自動化が進んだことで、バグがこれまでにないペースで報告されるようになり、開発企業の修正が追いつかなくなるほどの状況が生じている。米国国家脆弱性データベース（NVD）の統計によると、2026年に入ってから現在までに記録された脆弱性数は46,872件に上り、2025年全体の報告数である49,920件に迫る勢いを見せている。

ChromeのコードベースでもAIによるバグ探索が成果を上げている。今年3月に修正された、Navigation（ブラウザがWebページ間を移動する処理）コンポーネントにおける重大な脆弱性「CVE-2026-3545」はその代表例だ。このバグは共通脆弱性評価システム（CVSS、脆弱性の深刻度を評価する指標）のスコアで9.6と極めて高く、悪用されるとブラウザのサンドボックス（外部攻撃からシステムを守る隔離環境）を回避され、ローカルファイルを読み取られる恐れがあった。このバグはGoogle独自のAIモデル「Gemini（ジェミニ）」を活用したエージェントハーネス（自律的なAIを用いたテスト環境）によって発見されたが、それまで13年以上も検出されずに残っていたという。

リリースサイクルの加速と手作業の排除

現在Googleは、Chromeのマイルストーン（主要なリリース）の間隔を2週間に短縮し、それとは別に毎週セキュリティパッチを提供する体制への移行を進めている。しかし、AIを利用した迅速なサイバー攻撃に対抗するため、現在はセキュリティアップデートを週に2回配信する体制のテスト運用（パイロット導入）を開始している。

Googleは公式ブログで、「たとえリリース頻度が上がったとしても、適切な情報の一般公開は最優先事項だ」と強調している。安定版のChromeに影響するすべてのセキュリティバグは、社内外での発見を問わず、標準的なベストプラクティス（推奨される最善の手順）として公開および文書化される。また、脆弱性の発見から一般への公開までの時間を極限まで短縮するため、パッチの適用時に自動でリリースノートやCVE（共通脆弱性識別子、個々の脆弱性に割り当てられる一意の識別番号）の説明文を生成するシステムの構築に取り組んでいる。これにより、ドキュメント作成における人間の手作業によるボトルネックを解消する狙いだ。

ユーザーに負担をかけない「動的パッチ」の模索

セキュリティーの更新頻度が高まると、ユーザーにとっては頻繁なブラウザの再起動が負担となる。そこでGoogleは、ユーザーがChromeを再起動することなく、動的にパッチを適用する技術の導入を検討している。

この仕組みは、Chromeが採用している「マルチプロセスアーキテクチャ」（ブラウザの機能を複数の独立したプロセスに分割して実行する構造）を活用するものだ。実行中のブラウザの裏側で、画面描画を担当するレンダラーやグラフィック処理を行うGPUなどのバックグラウンドのプロセスを稼働したまま、新しいバージョンのプログラムへ順番に入れ替えていく。また、どうしても再起動が必要な場合でも、セッション（ユーザーが開いているタブや表示状態などの接続情報）をスムーズに復元することで、利用中のストレスを最小限に抑える技術も開発中だ。

その一例として、macOS向けのChrome 150では、ウィンドウを閉じてもアプリケーション自体はバックグラウンドで起動し続けるというOSの仕様を利用し、ウィンドウが一つも開いていない状態で更新データがあることを検知すると、自動的にバックグラウンドで再起動を完了する仕組みを実装した。

脆弱性の根本原因を排除する設計変更

Googleは、個別のバグ修正にとどまらず、脆弱性の「クラス（種類）」そのものをChromeから一掃するための取り組みにも投資している。

具体的には、C++（メモリ管理が難しいプログラミング言語）による古いコードに起因するバグに対処するため、ランタイム（プログラムの実行環境）のセキュリティを強化している。さらに、メモリ管理が安全に行われる特性を持つ言語「Rust（ラスト、メモリ安全性が特徴のプログラミング言語）」への移行や、ブラウザの最上位UIをHTML、CSS、TypeScript（JavaScriptを拡張した安全なプログラミング言語）に置き換えることで、従来のC++フレームワークへの依存度を下げる設計変更を進めている。これにより、「Use-After-Free」（メモリ解放後の不要なアクセス）や「境界外読み書き」といった、重大なセキュリティ侵害につながりやすいメモリ関連の欠陥自体を発生しにくくする狙いがある。

加えて、Chromeが使用しているサードパーティ（外部の第三者が開発したソフトウェア部品）への依存関係をすべて自動アップデートパイプラインに組み込み、常に最新の安全なバージョンが維持される環境を整えている。

Chromeセキュリティチームは、「発見して修正されたバグの一つひとつが、攻撃者の侵入拠点を一つ奪うことにつながる」とした上で、バグを見つけることと同じかそれ以上に、パッチを迅速に提供してユーザーの環境に適用すること、そしてバグのクラスそのものを根絶する根本的なプロジェクトに投資し続けることが重要であると述べている。