Chrome の悪用済み欠陥 CVE-2026-125350 を修正

やること

Chrome を 157.0.8103.50 以降に更新してください。Windows と Mac は 157.0.8103.50 または .51、Linux は 157.0.8103.50 です。更新を入れたら、ブラウザーを一度閉じて開き直し、反映させてください。

Microsoft Edge は、11月9日の時点で修正版がまだ出ていません。Microsoft は悪用を把握していて、修正を準備していると公表しています。新しいバージョンが出たら、すぐに更新してください。

何が危ないのか

Google は11月9日、Chrome の安定版を 157.0.8103.50 に更新したと公表しました。この更新で直した脆弱性は9件です。そのうち CVE-2026-125350 について、Google は悪用するための攻撃コードが実際に出回っていることを把握していると書いています。

CVE-2026-125350 は Chrome の中で XML を扱う部分にある「解放後使用」の欠陥です。解放後使用とはもう使わないとして手放したメモリを、あとから使ってしまう誤りです。この誤りがあると、攻撃者がそのメモリに仕込んだ中身を、ブラウザーが命令として動かしてしまうことがあります。

NVD の記録では、細工した HTML のページを開くと、外部の攻撃者にサンドボックスの中で任意のコードを実行されるおそれがあるとされています。サンドボックスとはページを動かす処理をパソコンのほかの部分から切り離しておく、ブラウザーの保護の仕組みです。攻撃はネットワーク越しに届き、ログインなどの権限は要りませんが、利用者がページを開く操作は要ります。

Google はこの欠陥の深刻度を High としています。NVD には CISA が付けた CVSS 3.1 の基本値 8.8 が載っています。

この欠陥は匿名の人が11月6日に Google へ報告したもので、報告から3日で修正版が出ています。攻撃の手口や被害の規模は公表されていません。Google は、多くの利用者に修正が行き渡るまで、不具合の詳しい情報を公開しないことがあるとしています。

同じ更新では XML の部分にある別の解放後使用の欠陥 CVE-2026-125346 も直っていますが、こちらに悪用の記載はありません。

悪用の状況

米国の CISA は11月10日、この欠陥を「悪用が確認された脆弱性」の一覧（KEV）に載せました。対応の期限は11月24日です。NVD に載っている CISA の評価でも、悪用は「あり」とされています。ランサムウェアの攻撃に使われたかどうかは「不明」です。

CISA は、Chromium をもとに作られた複数のブラウザーが影響を受けうるとし、例として Google Chrome、Microsoft Edge、Opera を挙げています。Chromium は、Google が中心になって開発している、ブラウザーのもとになるソフトです。

対象

157.0.8103.50 より前の Chrome が対象です。Chrome の更新は数日から数週間かけて順に届くため、自動更新に任せているだけでは、古いバージョンのままの端末が残ります。

Edge の公表には、11月9日に「最近の悪用を把握しており、修正の公開に取り組んでいる」という趣旨の記載が出ています。CVE 番号は書かれていません。その前の最新版は11月5日の 157.0.4341.42 で、Chrome の今回の修正より前に出たものです。

11月3日の Chrome 157 の更新は、今回とは別のものです。内容は Chrome 157で213件の脆弱性を修正、最も重いものは7件 にまとめています。

中小企業が確かめること

Chrome は更新が入っても、開いたままだと古いバージョンで動き続けます。ブラウザーを何日も閉じない人が多い職場では、今日の終業時などに一斉に再起動するよう社内に伝えると、漏れが減ります。

社内の管理ツールで Chrome を配っている場合は、管理画面で 157.0.8103.50 以降が入っているかを一覧で確かめてください。自動更新を止めている端末は、手で更新する必要があります。

Edge の修正版が出るまでは、知らない送り主のメールやメッセージにあるリンクを開かないよう社内に伝えておくと、ページを開かせる攻撃に遭う機会を減らせます。