Chrome 157で213件の脆弱性を修正、最も重いものは7件

やること

Chrome を 157 へ更新してください。Windows と Mac は 157.0.8103.38 または .39、Linux は 157.0.8103.38 です。更新したらブラウザを再起動して反映させてください。

Microsoft Edge は11月5日に 157.0.4341.42 が出ています。Edge も更新してください。

何が危ないのか

Google は11月3日に Chrome 157 を安定版として公開しました。配信には数日から数週間かかるため、自動更新を待っているだけでは届いていない端末が残ります。

修正は213件です。深刻度が最も高い Critical は7件あります。

番号	部分	欠陥の種類
CVE-2026-121156	Dawn	バッファオーバーフロー（メモリのあふれ）
CVE-2026-121247	Dawn	バッファオーバーフロー
CVE-2026-121229	ANGLE	メモリ破損
CVE-2026-121246	WebGL	解放後使用
CVE-2026-121035	Prerender	解放後使用
CVE-2026-121203	Geometry	解放後使用
CVE-2026-121126	Core	解放後使用

Dawn、ANGLE、WebGL は画面描画に関わる部分です。「解放後使用」は、もう使わないと解放したメモリを、あとから使ってしまう欠陥です。

CVE-2026-121156 は、細工した HTML ページを開くと、ブラウザの保護（サンドボックス）の外でコードを実行されるおそれがあります。NVD の記録では、Chrome 157.0.8103.38 より前が対象です。CVSS の 9.6 は Google の評価ではなく、NVD に載っている別の評価です。攻撃はネットワーク越しで、利用者がページを開く操作が必要とされています。

悪用の状況は、Google の公表に確認されたという記載がありません。NVD には、CISA が11月4日に付けた評価も載っていて、悪用は「なし」、自動化は「不可」とされています。ただし、技術的な影響は「全面的」です。

対象

157.0.8103.38 より前の Chrome が対象です。Edge の公表には、11月5日の時点で個別の CVE 番号がまだ載っていません。Microsoft は CVE が分かり次第追記するとしており、Edge 157 に Chrome のどの欠陥の修正が入っているかは、追記を待って確かめることになります。

中小企業が確かめること

Chrome は更新が入っても、ブラウザを開いたままだと古い版で動き続けます。ほかの業務のために何日もブラウザを閉じない人がいる職場では、再起動の日時を決めて社内に伝えておくと、更新の漏れが減ります。

Chrome や Edge を社内の管理ツールで配っている場合は、管理画面で 157.0.8103.38 以降、Edge は 157.0.4341.42 以降が入っているかを一覧で見られます。自動更新を止めている端末は、手動で更新する必要があります。