Opera GXに深刻な脆弱性、悪意あるサイト訪問でクリックなしにGmailアドレスなどが窃取される恐れ

要点

• ゲーミング特化型ブラウザ「Opera GX」において、ユーザーの同意なしにアドオンを自動インストールされる脆弱性が判明した。

• 悪意あるウェブサイトを訪れるだけで、Gmailアドレスなどの個人データがサイレントで盗み出される恐れがある。

• この問題はバージョン「130.0.5847.89」で修正されており、開発元はこれまでに悪用された証拠はないとしている。

• 報告を受けたOperaは脆弱性の深刻度を最高ランクの「P1」と評価し、最大5,000ドルの報奨金を支払った。

• ウェブセキュリティ情報サイト「The Hacker News」は2026年7月6日（現地時間）、ゲーミング向けブラウザ「Opera GX」に、特定のウェブサイトを訪問するだけでアドオンがサイレントインストールされ、訪問先ページのデータを窃取される脆弱性が存在していたと報じた。セキュリティ研究者による検証では、ユーザーがクリックなどの操作を一切行うことなく、ログイン中のGmailアドレスが完全に復元されたという。開発元であるOperaはすでにパッチ（修正プログラム）を配信しており、現時点でこの脆弱性が実際に悪用された痕跡は見つかっていないと説明している。

• この脆弱性は、すでに最新バージョンである「130.0.5847.89」で修正されており、該当バージョン以降を使用しているユーザーは対策が完了している。自身のブラウザのバージョンは、アドレスバーに「opera://about」と入力することで確認可能だ。なお、今回の脆弱性に対してCVE（共通脆弱性識別子：個別の脆弱性に割り当てられる識別番号）は発行されていない。

• ユーザーのクリックや承認を一切必要としないため、パッチを適用する以外に根本的な回避策は存在しなかった。Operaのバグ報奨金チームは、この問題の深刻度を最高ランクの「P1」と評価し、重要バグに対する最高額である5,000ドルの報奨金を報告者に支払ったという。

攻撃が成立する仕組みとサイレントインストール

問題の根源は、Opera GXに搭載されているカスタム機能「GX Mods」の仕様にある。GX Modsは、背景や効果音、デザインを制御するCSS（ウェブページの見た目を定義する言語）などをカスタマイズできるアドオン機能だ。これらはブラウザ拡張機能と同じ「.crx」というファイル形式で提供されるが、JavaScriptを実行することはできず、個別の権限も持たない。

しかし、このModがインストールされるプロセスに弱点が存在していた。Operaの仕様では、Modをダウンロードした際にユーザーの承認プロンプト（確認用ダイアログ）を表示せず、自動で有効化する仕組みになっていた。そのため、悪意あるウェブサイト側に非表示の「iframe」（ページ内に別のページを埋め込むHTML要素）を配置し、そこからModファイルを読み込ませるだけで、ユーザーに気づかれることなくサイレントインストールが可能だった。インストール時に唯一発生する兆候は、アドレスバーの下部に通知が出るのみである。

この自動インストール挙動自体は2023年にも悪用が指摘され、一部のコードは修正されたが、根本的な仕組みが残されていた。ModのCSSはユーザーが訪問するすべてのウェブサイトに対して強制的に適用される。単一のページ内にとどまる通常のCSSインジェクションとは異なり、ブラウザが開くすべてのウェブサイトに攻撃者のスタイルシートが及ぶため、研究者はこれを「ユニバーサルCSSインジェクション」と呼んでいる。

XS-Leakによるデータ窃取のプロセス

CSS単体ではデータを送信できないが、「属性セレクタ」（特定の属性値を対象にスタイルを適用するCSSの機能）を悪用すれば可能だ。特定の文字から始まる属性値が存在するときのみ画像リクエストを送信させ、これを繰り返してデータを1文字ずつ特定する「XS-Leak」（異なるウェブサイト間でユーザーの機密情報を推測・窃取する攻撃手法）を利用する。

研究者らは、Googleのアカウント情報ページに埋め込まれたGmailアドレスを標的とし、約15万個のCSSルールを組み込んだModを作成した。サイト訪問後、数秒でModがインストールされてGoogleページに強制リダイレクトされ、ページ描画の瞬間に画像リクエストを通じてアドレスが漏洩する。この動作は極めて高速で、ユーザーが通知バーから削除する間もなく完了する。なお、Gmailアドレスの復元は概念実証であり、HTML内に記述されているユーザー名などのあらゆる情報を同様に盗み出せるという。

さらに、プライベートブラウジングモード（閲覧履歴やクッキーを保存しない特別な動作モード）でこのModのファイルを読み込ませるとブラウザがクラッシュし、タブ情報がダンプされる問題も確認されている。このクラッシュ現象は通常のOperaブラウザにも影響するが、Opera側の修正告知には記載がない。

この脆弱性が正式に認められるまでには、紆余曲折があった。当初、Operaが利用しているバグバウンティプラットフォームでの評価は中程度の「P3」だったが、研究者が検証中の審査アナリストのGmailアドレスを実際に本手法で復元し報告書に提示したことで、最高ランクの「P1」に引き上げられ、最高額の5,000ドルの報奨金が支払われるに至った。