GoogleがChromeの最新アップデートを公開、V8エンジンのゼロデイ脆弱性など230件に対処

要点

• 米GoogleはGoogle Chromeのセキュリティ更新を公開し、悪用が確認されているゼロデイ脆弱性1件を含む計230件の不具合を修正した。

• 悪用が確認された「CVE-2026-87491」は、JavaScriptエンジン「V8」の境界外書き込みのバグであり、サンドボックス内での任意コード実行につながる恐れがある。

• Googleが2026年に入ってから対処した悪用確認済みのChromeゼロデイ脆弱性は、今回で累計7件となった。

• 更新ではグラフィックス機能「WebGL」や画面共有機能「Cast」における5件の致命的な欠陥も修正された。

• 米CISAは該当の脆弱性を悪用確認済みカタログに追加し、米連邦政府機関へ2026年9月23日までのパッチ適用を義務付けた。

• 米Googleは現地時間2026年9月8日、ウェブブラウザ「Google Chrome」のセキュリティアップデートをリリースした。今回の更新では合計230件のセキュリティ脆弱性が修正されており、そのうちの1件はすでに実環境でのサイバー攻撃に悪用されていることが確認されている。

V8エンジンにおける境界外書き込みの不具合「CVE-2026-87491」

今回、活発な悪用が報告されているのは「CVE-2026-87491」として識別される脆弱性だ。深刻度レーティングは中程度（Medium）と位置づけられている（CVSSスコアは未定）。

この不具合は、ChromeのJavaScriptおよびWebAssembly実行エンジンである「V8」（ブラウザ上でスクリプトを高速実行する中核機能）に存在する境界外書き込み（Out-of-bounds write）に起因している。米国立標準技術研究所（NIST）の脆弱性データベース（NVD）の記述によると、バージョン153.0.8010.36より前のChromeにおいて、細工されたHTMLページを読み込ませることで、遠隔の攻撃者がサンドボックス（悪意ある動作を隔離する保護領域）の内部で任意のコードを実行できる状態になっていたという。

本脆弱性は、ソウル大学校のセキュリティ研究室「Compsec Lab」に所属するJihyeon Jeong氏によって発見され、2026年8月6日にGoogleへ報告された。同氏には脆弱性報告の報奨金として2,500ドルが授与されている。

Googleによる詳細情報の制限方針と2026年のゼロデイ修正状況

Googleは、CVE-2026-87491に対するエクスプロイト（攻撃用コード）が実環境に存在することを把握していると表明した。一方で、攻撃の手口や標的、関与している攻撃者の詳細といった具体的な情報については現時点で公表を控えている。

同社は、大多数のユーザーが修正プログラムを適用するまでの間、バグの詳細や関連リンクへのアクセス制限を維持する方針を明かしている。また、他のプロジェクトが依存するサードパーティ製ライブラリ側に原因があり、該当プロジェクトでまだ修正が完了していない場合にも同様に情報制限を継続すると説明した。

Googleが2026年に入ってから対処した、実際に悪用が確認されたChromeのゼロデイ脆弱性は今回の修正で計7件に達した。これまでに「CVE-2026-2441」「CVE-2026-3909」「CVE-2026-3910」「CVE-2026-5281」「CVE-2026-11645」「CVE-2026-85046」の修正が行われている。

WebGLやCastコンポーネントの致命的な脆弱性も修正

今回のアップデートでは、CVE-2026-87491のほかにも多数の重大な不具合が解消された。特に、3D描画APIである「WebGL」や画面共有機能の「Cast」コンポーネントにおいて、5件の致命的（Critical）な脆弱性が修正されている。

修正された主な致命的欠陥は以下の通りだ。

• CVE-2026-87464: WebGLにおけるメモリ解放後使用（Use-after-free）
• CVE-2026-87488: WebGLにおけるメモリ解放後使用（Use-after-free）
• CVE-2026-87438: WebGLにおける境界外書き込み（Out-of-bounds write）
• CVE-2026-87527: WebGLにおけるバッファオーバーフロー（Buffer overflow）
• CVE-2026-87628: Castにおけるメモリ解放後使用（Use-after-free）

今回修正された230件の脆弱性のうち、195件はGoogle内部の調査によって報告された。また、WebPackagingコンポーネントにおける深刻度「高（High）」のメモリ解放後使用脆弱性（CVE-2026-87639）は、OpenAI Codex Securityからの報告によるものとされている。

Googleは、自社で検出するセキュリティバグの多くについて、AddressSanitizer、MemorySanitizer、UndefinedBehaviorSanitizer、Control Flow Integrity、libFuzzer、AFLなどの各種メモリ検証ツールやファジング（不正なデータを大量投入して不具合をあぶり出す手法）ツールを用いて発見していると述べている。

CISAによる悪用カタログ追加とアップデートの展開

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年9月9日、CVE-2026-87491を「悪用が確認された脆弱性（KEV）カタログ」に追加した。これにより、米国の連邦文民行政府（FCEB）機関に対して2026年9月23日までに修正パッチを適用するよう義務付けている。

Googleは保護措置として、Chromeを最新バージョンへ更新するよう案内している。修正が適用されたバージョンは、WindowsおよびmacOS向けが「153.0.8010.36」または「153.0.8010.37」、Linux向けが「153.0.8010.36」となる。ブラウザのメニューから「ヘルプ」＞「Google Chrome について」を開き、再起動を行うことで更新が完了する。

また、Microsoft Edge、Brave、Opera、VivaldiといったChromiumをベースとする他のウェブブラウザを利用しているユーザーに対しても、各ベンダーから修正版が提供され次第、速やかにアップデートを適用することが推奨されている。