--- title: "Chromeに今年8件目の悪用確認ゼロデイ、XML処理の解放後使用だった。直すのは157.0.8103.50、効くのは再起動してから" description: "Googleは2026年11月9日、デスクトップ版Chromeの安定版を157.0.8103.50／.51（Linuxは.50）へ更新し、セキュリティ修正9件を公開した。このうちXML処理の解放後使用（CVE-2026-125350、深刻度High）は、悪用するコードが実際に出回っているとGoogle自身が明記した。2026年に入って悪用が確認されたChromeのゼロデイは、報道集計で8件目になる" url: https://itpostjp.com/security/google-chrome-cve-2026-125350-xml-use-after-free-eighth-zero-day/ category: "セキュリティ" published_at: 2026-11-11T08:44:00Z updated_at: 2026-11-11T08:44:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: muse-wonder terms: ["CVE（共通脆弱性識別子）", "ゼロデイ脆弱性", "解放後使用(Use-After-Free)"] --- # Chromeに今年8件目の悪用確認ゼロデイ、XML処理の解放後使用だった。直すのは157.0.8103.50、効くのは再起動してから IT Post編集部 ＆ 編集長 千田智也 Googleは2026年11月9日、デスクトップ版Chromeの安定版を157.0.8103.50／.51（Linuxは.50）へ更新し、セキュリティ修正9件を公開した。このうちXML処理の解放後使用（CVE-2026-125350、深刻度High）は、悪用するコードが実際に出回っているとGoogle自身が明記した。2026年に入って悪用が確認されたChromeのゼロデイは、報道集計で8件目になる ## 30秒で分かる結論 - Googleは2026年11月9日、デスクトップ版Chromeの安定チャネルを更新しました。WindowsとMacは157.0.8103.50／.51、Linuxは157.0.8103.50です。更新は今後数日から数週間かけて順次届く、とされています。この版にはセキュリティ修正が9件含まれます。 - その中で、XML処理の「解放後使用（Use after free）」であるCVE-2026-125350（深刻度はHigh）について、Googleは「この脆弱性を悪用するコードが実際に出回っていることを把握している」と明記しました。報告は2026年11月6日に匿名の研究者から寄せられ、わずか3日後の修正公開です。 - 対処は、バージョンを確認して更新し、ブラウザーを再起動（再起動のボタンから再開）することです。ダウンロードされただけでは直りません。企業向けのExtended Stableチャネルには、別に156.0.8078.96が用意されています。2026年に悪用が確認されたChromeのゼロデイは、報道の集計でこれが8件目です。 ## まず初めに 世界の標準ブラウザーの、今年8回目の「もう悪用されています」。もはや年中行事を通り越して、月刊誌の連載である。しかも舞台はXMLという、派手さの対極にある古株の処理だった。最新鋭のAI機能の足元で、ベテランの配管が水漏れしている。ブラウザーは、機能を足す速度と、穴を塞ぐ速度の競争でできている乗り物だ、と改めて思う。 ※個人の感想です ## 何が起きたのか Googleは2026年11月9日付けのChrome Releases（公式の更新情報）で、デスクトップ向け安定チャネルの更新を告知しました。含まれるセキュリティ修正は9件で、内訳は深刻度Highが7件、Mediumが2件です。 中心はCVE-2026-125350です。XMLコンポーネントにおける解放後使用、つまり、解放済みのメモリ領域をプログラムが使い続けてしまう種類の欠陥で、細工されたWebページなどを通じてメモリを壊し、任意のコード実行へつながり得るものとして、各社の報道でも伝えられています。Googleは告知の中で、「Google is aware that an exploit for CVE-2026-125350 exists in the wild.（CVE-2026-125350を悪用するコードが実際に出回っていることを把握している）」と明記しました。誰が、誰を狙って、どのように配っているのかは、公表されていません。脆弱性の詳しい情報やリンクへのアクセスは、大半の利用者が更新を終えるまで制限される場合がある、とGoogleは従来どおり断っています。 同じXML領域には、もう1件の解放後使用（CVE-2026-125346）も今回の更新で直っています。こちらは2026年10月12日にNeonix SecurityのArni Hardarson氏から報告されたもので、悪用の言及はありません。そのほかのHighには、WebGLの未初期化リソース、Compositingのバッファーオーバーフロー、GPUの範囲外書き込み、V8（JavaScriptエンジン）の型混同、FileSystemの認可の不備が含まれます。 ![Googleの発表内容（Chrome 157のセキュリティ修正とCVE-2026-125350）](/images/articles/google-chrome-cve-2026-125350-xml-use-after-free-eighth-zero-day-inline-1.webp) ## 直った版と、確認のしかた | チャネル | 対象 | 修正を含む版 | |---|---|---| | 安定（Stable） | Windows／Mac | 157.0.8103.50 または .51 | | 安定（Stable） | Linux | 157.0.8103.50 | | Extended Stable | Windows／Mac | 156.0.8078.96（二次情報に基づく） | 確認手順は単純です。Chromeのメニューから「ヘルプ」→「Google Chromeについて」を開くと、更新の確認とダウンロードが始まります。ダウンロードが終わっても、画面に出る「再起動」を押してブラウザーを開き直すまでは、古い版のまま動き続けます。バージョン表示が上の表の版以上になっていれば、今回の修正は適用済みです。管理対象の端末が多い組織では、再起動を促すポリシー設定まで含めて配るのが確実です。「更新済み」と「再起動済み」の差が、そのまま穴の開いている時間になります。 なお、この脆弱性は、米CISAが11月10日に実悪用カタログ（KEV）へ追加した6件の1つでもあります。本誌の月例パッチ記事でも、その一覧に触れています（[Microsoftの11月月例を解説した記事](https://itpostjp.com/security/microsoft-november-2026-patch-tuesday-outlook-zero-day-1093-cves/)）。また、Chromiumを基盤にする他社のブラウザーは、各社が自社版の修正を出すまで別スケジュールです。「Chromeは直した」で、派生ブラウザーまで直ったことにはなりません。 ## なぜ「8件目」が重いのか The RegisterやSecurityWeekの集計では、2026年に入って悪用が確認されたChromeのゼロデイは、これで8件目です。2025年は通年で8件だった、とThe Registerは伝えています。つまり、去年1年分の件数に、11月の時点で並んだ、ということです。件数そのものは、発見と公表の体制が機能している証拠でもありますが、利用者側から見れば「悪用が先、修正が後」の綱渡りが年に8回あった、ということでもあります。攻撃の規模や対象は今回も不明で、Googleは詳細を伏せています。不明な部分を、安心材料として読むことはできません。 ## 派生ブラウザーとAndroidの扱い 二次情報（Windows ForumやMalwarebytesのまとめ）によると、Extended Stable向けの156.0.8078.96には11件の修正が含まれ、その中にもCVE-2026-125350が入っています。安定チャネルとExtended Stableでは、到達すべき版が違うため、管理台帳で版数を照合する際は、チャネルの違いを先に分ける必要があります。また、Android版Chromeについても同じ日付で157.0.8103.50が出ている、とMalwarebytesは伝えています。もっとも、今回Googleが公式告知で対象として明示したのはデスクトップ版です。スマートフォン側は、端末のアプリ更新の画面で版数を個別に確認するのが確実です。 ## IT Postの見方 IT Postでは、この件で一番の死角は「自動更新があるから大丈夫」という思い込みだと考えます。Chromeの更新は、届くことと、効くことの間に、再起動という人間の作業を挟む設計です。何週間もタブを開きっぱなしにする使い方ほど、版数は新しく見えて中身は古い、という状態を作りやすい。派手なゼロデイの話を、最後は「ブラウザーを閉じて開き直す」という地味な作法へ着地させること。それが、利用者側に残された数少ない確実な仕事だと考えます。 ## 今後どうなりそうか 今後数日から数週間で更新は行き渡りますが、その間も悪用側の試行は続くと見るのが自然です。派生ブラウザーの修正時期、AndroidやChromeOS向けの同等の修正の案内も、続報として出てくるはずです。組織の管理者は、安定チャネルとExtended Stableで確認すべき版が違う点に注意し、端末の版数分布を一度洗い出すことを勧めます。 ## 情報源 「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。 - [Stable Channel Update for Desktop (November 9, 2026)](https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_018223192.html) — Google（Chrome Releases）（一次情報） - [Chrome zero-day whack-a-mole continues as 2026 tally hits 8](https://www.theregister.com/security/2026/11/10/chrome-zero-day-whack-a-mole-continues-as-2026-tally-hits-8/5308732) — The Register - [Chrome CVE-2026-125350: Update Stable and Extended Stable to Fix Exploited XML Zero-Day](https://windowsforum.com/news/chrome-cve-2026-125350-update-stable-and-extended-stable-to-fix-exploited-xml-zero-day.451627/) — Windows Forum - [Update Chrome now to fix a flaw attackers are exploiting](https://www.malwarebytes.com/blog/bugs/2026/11/update-chrome-now-to-fix-a-flaw-attackers-are-exploiting) — Malwarebytes ## この記事に出てくるIT用語 - [CVE（共通脆弱性識別子）](https://itpostjp.com/terms/cve-common-vulnerabilities-and-exposures/): 世界中で見つかったソフトウェアの脆弱性一つひとつに割り振られる、共通の番号のことです。 - [ゼロデイ脆弱性](https://itpostjp.com/terms/zero-day-vulnerability/): まだ修正プログラムが公開されていない、発見されたばかりのソフトウェアの弱点のことです。 - [解放後使用(Use-After-Free)](https://itpostjp.com/terms/use-after-free/): プログラムが、いったん使い終えて解放したはずのメモリ領域を、消し忘れた参照(ポインタ)を通じて誤って使い続けてしまう欠陥のこと。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/google-chrome-cve-2026-125350-xml-use-after-free-eighth-zero-day/