Chromeに今年8件目の悪用確認ゼロデイ、XML処理の解放後使用だった。直すのは157.0.8103.50、効くのは再起動してから

まず初めに

世界の標準ブラウザーの、今年8回目の「もう悪用されています」。もはや年中行事を通り越して、月刊誌の連載である。しかも舞台はXMLという、派手さの対極にある古株の処理だった。最新鋭のAI機能の足元で、ベテランの配管が水漏れしている。ブラウザーは、機能を足す速度と、穴を塞ぐ速度の競争でできている乗り物だ、と改めて思う。

※個人の感想です

何が起きたのか

Googleは2026年11月9日付けのChrome Releases（公式の更新情報）で、デスクトップ向け安定チャネルの更新を告知しました。含まれるセキュリティ修正は9件で、内訳は深刻度Highが7件、Mediumが2件です。

中心はCVE-2026-125350です。XMLコンポーネントにおける解放後使用、つまり、解放済みのメモリ領域をプログラムが使い続けてしまう種類の欠陥で、細工されたWebページなどを通じてメモリを壊し、任意のコード実行へつながり得るものとして、各社の報道でも伝えられています。Googleは告知の中で、「Google is aware that an exploit for CVE-2026-125350 exists in the wild.（CVE-2026-125350を悪用するコードが実際に出回っていることを把握している）」と明記しました。誰が、誰を狙って、どのように配っているのかは、公表されていません。脆弱性の詳しい情報やリンクへのアクセスは、大半の利用者が更新を終えるまで制限される場合がある、とGoogleは従来どおり断っています。

同じXML領域には、もう1件の解放後使用（CVE-2026-125346）も今回の更新で直っています。こちらは2026年10月12日にNeonix SecurityのArni Hardarson氏から報告されたもので、悪用の言及はありません。そのほかのHighには、WebGLの未初期化リソース、Compositingのバッファーオーバーフロー、GPUの範囲外書き込み、V8（JavaScriptエンジン）の型混同、FileSystemの認可の不備が含まれます。

直った版と、確認のしかた

チャネル	対象	修正を含む版
安定（Stable）	Windows／Mac	157.0.8103.50 または .51
安定（Stable）	Linux	157.0.8103.50
Extended Stable	Windows／Mac	156.0.8078.96（二次情報に基づく）

確認手順は単純です。Chromeのメニューから「ヘルプ」→「Google Chromeについて」を開くと、更新の確認とダウンロードが始まります。ダウンロードが終わっても、画面に出る「再起動」を押してブラウザーを開き直すまでは、古い版のまま動き続けます。バージョン表示が上の表の版以上になっていれば、今回の修正は適用済みです。管理対象の端末が多い組織では、再起動を促すポリシー設定まで含めて配るのが確実です。「更新済み」と「再起動済み」の差が、そのまま穴の開いている時間になります。

なお、この脆弱性は、米CISAが11月10日に実悪用カタログ（KEV）へ追加した6件の1つでもあります。本誌の月例パッチ記事でも、その一覧に触れています（Microsoftの11月月例を解説した記事）。また、Chromiumを基盤にする他社のブラウザーは、各社が自社版の修正を出すまで別スケジュールです。「Chromeは直した」で、派生ブラウザーまで直ったことにはなりません。

なぜ「8件目」が重いのか

The RegisterやSecurityWeekの集計では、2026年に入って悪用が確認されたChromeのゼロデイは、これで8件目です。2025年は通年で8件だった、とThe Registerは伝えています。つまり、去年1年分の件数に、11月の時点で並んだ、ということです。件数そのものは、発見と公表の体制が機能している証拠でもありますが、利用者側から見れば「悪用が先、修正が後」の綱渡りが年に8回あった、ということでもあります。攻撃の規模や対象は今回も不明で、Googleは詳細を伏せています。不明な部分を、安心材料として読むことはできません。

派生ブラウザーとAndroidの扱い

二次情報（Windows ForumやMalwarebytesのまとめ）によると、Extended Stable向けの156.0.8078.96には11件の修正が含まれ、その中にもCVE-2026-125350が入っています。安定チャネルとExtended Stableでは、到達すべき版が違うため、管理台帳で版数を照合する際は、チャネルの違いを先に分ける必要があります。また、Android版Chromeについても同じ日付で157.0.8103.50が出ている、とMalwarebytesは伝えています。もっとも、今回Googleが公式告知で対象として明示したのはデスクトップ版です。スマートフォン側は、端末のアプリ更新の画面で版数を個別に確認するのが確実です。

IT Postの見方

IT Postでは、この件で一番の死角は「自動更新があるから大丈夫」という思い込みだと考えます。Chromeの更新は、届くことと、効くことの間に、再起動という人間の作業を挟む設計です。何週間もタブを開きっぱなしにする使い方ほど、版数は新しく見えて中身は古い、という状態を作りやすい。派手なゼロデイの話を、最後は「ブラウザーを閉じて開き直す」という地味な作法へ着地させること。それが、利用者側に残された数少ない確実な仕事だと考えます。

今後どうなりそうか

今後数日から数週間で更新は行き渡りますが、その間も悪用側の試行は続くと見るのが自然です。派生ブラウザーの修正時期、AndroidやChromeOS向けの同等の修正の案内も、続報として出てくるはずです。組織の管理者は、安定チャネルとExtended Stableで確認すべき版が違う点に注意し、端末の版数分布を一度洗い出すことを勧めます。