# Chrome の悪用済み欠陥 CVE-2026-125350 を修正

- 分類: 脆弱性情報
- 公開日: 2026年11月9日
- 発行: サイバーセキュリティ情報センター 編集部（株式会社Rabbitly）
- URL: https://security-info.org/articles/2026-11-09-chrome-xml-uaf-exploited/
- タグ: ブラウザ、Chrome、Microsoft Edge、Google、悪用確認、CVE-2026-125350、海外

> Google は11月9日、悪用済みの XML の欠陥を直した Chrome 157.0.8103.50 を公開しました。CISA も11月10日に悪用リストへ載せ、Edge は修正を準備中です。更新したら再起動まで済ませてください。

## 脆弱性の概要

| 項目 | 内容 |
| --- | --- |
| 対象 | ブラウザ |
| 深刻度 | 重要 |
| CVSS | 8.8 |
| 悪用 | あり（確認済み） |
| 影響 | 細工したページを開くとコードを実行されるおそれ |
| 修正版 | 修正版あり |
| 公表元 | Google / CISA / NVD / Microsoft |

### 影響を受ける製品

| 製品 | 対象のバージョン | 修正版 |
| --- | --- | --- |
| Chrome（Windows / Mac） | 157.0.8103.50 より前 | 157.0.8103.50 / .51 |
| Chrome（Linux） | 157.0.8103.50 より前 | 157.0.8103.50 |
| Microsoft Edge | 公表なし | 修正を準備中（11月9日時点） |

## やること

Chrome を 157.0.8103.50 以降に更新してください。Windows と Mac は 157.0.8103.50 または .51、Linux は 157.0.8103.50 です。更新を入れたら、ブラウザーを一度閉じて開き直し、反映させてください。

Microsoft Edge は、11月9日の時点で修正版がまだ出ていません。Microsoft は悪用を把握していて、修正を準備していると公表しています。新しいバージョンが出たら、すぐに更新してください。

## 何が危ないのか

Google は11月9日、Chrome の安定版を 157.0.8103.50 に更新したと公表しました。この更新で直した脆弱性は9件です。そのうち CVE-2026-125350 について、Google は悪用するための攻撃コードが実際に出回っていることを把握していると書いています。

CVE-2026-125350 は Chrome の中で XML を扱う部分にある「解放後使用」の欠陥です。解放後使用とはもう使わないとして手放したメモリを、あとから使ってしまう誤りです。この誤りがあると、攻撃者がそのメモリに仕込んだ中身を、ブラウザーが命令として動かしてしまうことがあります。

NVD の記録では、細工した HTML のページを開くと、外部の攻撃者にサンドボックスの中で任意のコードを実行されるおそれがあるとされています。サンドボックスとはページを動かす処理をパソコンのほかの部分から切り離しておく、ブラウザーの保護の仕組みです。攻撃はネットワーク越しに届き、ログインなどの権限は要りませんが、利用者がページを開く操作は要ります。

Google はこの欠陥の深刻度を High としています。NVD には CISA が付けた CVSS 3.1 の基本値 8.8 が載っています。

この欠陥は匿名の人が11月6日に Google へ報告したもので、報告から3日で修正版が出ています。攻撃の手口や被害の規模は公表されていません。Google は、多くの利用者に修正が行き渡るまで、不具合の詳しい情報を公開しないことがあるとしています。

同じ更新では XML の部分にある別の解放後使用の欠陥 CVE-2026-125346 も直っていますが、こちらに悪用の記載はありません。

## 悪用の状況

米国の CISA は11月10日、この欠陥を「悪用が確認された脆弱性」の一覧（KEV）に載せました。対応の期限は11月24日です。NVD に載っている CISA の評価でも、悪用は「あり」とされています。ランサムウェアの攻撃に使われたかどうかは「不明」です。

CISA は、Chromium をもとに作られた複数のブラウザーが影響を受けうるとし、例として Google Chrome、Microsoft Edge、Opera を挙げています。Chromium は、Google が中心になって開発している、ブラウザーのもとになるソフトです。

## 対象

157.0.8103.50 より前の Chrome が対象です。Chrome の更新は数日から数週間かけて順に届くため、自動更新に任せているだけでは、古いバージョンのままの端末が残ります。

Edge の公表には、11月9日に「最近の悪用を把握しており、修正の公開に取り組んでいる」という趣旨の記載が出ています。CVE 番号は書かれていません。その前の最新版は11月5日の 157.0.4341.42 で、Chrome の今回の修正より前に出たものです。

11月3日の Chrome 157 の更新は、今回とは別のものです。内容は [Chrome 157で213件の脆弱性を修正、最も重いものは7件](/articles/2026-11-03-chrome-157-security-fixes/) にまとめています。

## 中小企業が確かめること

Chrome は更新が入っても、開いたままだと古いバージョンで動き続けます。ブラウザーを何日も閉じない人が多い職場では、今日の終業時などに一斉に再起動するよう社内に伝えると、漏れが減ります。

社内の管理ツールで Chrome を配っている場合は、管理画面で 157.0.8103.50 以降が入っているかを一覧で確かめてください。自動更新を止めている端末は、手で更新する必要があります。

Edge の修正版が出るまでは、知らない送り主のメールやメッセージにあるリンクを開かないよう社内に伝えておくと、ページを開かせる攻撃に遭う機会を減らせます。

## 自社で確かめること

1. **Chrome のバージョン**：設定の「Chrome について」を開き、157.0.8103.50 以降になっているかを見てください。更新が済んでいても、再起動するまでは古い版のまま動きます。
2. **Edge の修正版**：Microsoft は11月9日の時点で修正を準備中としています。Edge のセキュリティ更新のリリースノートを数日おきに開き、新しいバージョンが出たかを見てください。
3. **ほかの Chromium 系ブラウザー**：Opera など Chromium を使うブラウザーを社内で使っている場合は、それぞれの開発元の更新の案内を確かめてください。

## 出典

- [Google「Stable Channel Update for Desktop」（2026年11月9日）](https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_018223192.html)
- [CISA「Known Exploited Vulnerabilities Catalog」（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json)
- [NVD「CVE-2026-125350」](https://nvd.nist.gov/vuln/detail/CVE-2026-125350)
- [Microsoft「Release notes for Microsoft Edge Security Updates」](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security)