Chrome 153、今年7件目の活発に悪用された脆弱性を修正

GoogleはChrome 153をリリースしました。これは230件の脆弱性に対処するセキュリティアップデートであり、パッチが存在する前に攻撃者がすでに悪用していたゼロデイ脆弱性も含まれます。CVE-2026-87491として追跡されているこの脆弱性は、すべてのChromeタブを動かすJavaScriptおよびWebAssemblyエンジンであるV8に存在します。これは2026年に実際に悪用されたことが確認された7件目のChromeゼロデイであり、ブラウザの脆弱性が今年これほど頻繁に武器化されていることを浮き彫りにしています。

ゼロデイ脆弱性とは、ベンダーが修正プログラムをリリースする前に発見・悪用される脆弱性のことです。これがV8で発生すると、このエンジンはユーザーが訪問するほぼすべてのウェブサイトのコードを処理するため、特に憂慮すべきです。攻撃者が悪意のあるスクリプトをブラウザの防御をすり抜けさせるための格好の標的となります。

V8がChromeセキュリティ速報に頻繁に登場する理由

今年、V8が緊急のChromeアップデートの中心となったのは今回が初めてではありません。Googleは以前、2026年9月にライブで悪用されたV8ゼロデイをパッチ適用しており、Chrome 153のリリースの数日前には、実際のユーザーに対してすでに使用されていたCVE-2026-85046を解決しました。同じ脆弱性にはCISAからの厳格な期限、連邦政府システム向けの9月18日パッチ義務が設定されていました。

繰り返されるパターンは単純な現実を示しています。V8は複雑で、常に更新され、オープンウェブからの信頼できないコードに深くさらされているため、エクスプロイト開発者にとって永続的な標的となっています。Chrome 153の合計230件のパッチ（ほとんどがGoogle社内のテストとAI支援によるバグハンティングで発見）は、ブラウザのセキュリティを維持するために必要な継続的な作業の規模を示しています。しかし、攻撃者が先に見つけたCVE-2026-87491という1件の脆弱性が、今最も重要です。

未パッチのブラウザがもたらすプライバシーへの影響

ブラウザのゼロデイは単なる技術的な不便さではなく、個人のプライバシーへの直接的な脅威です。CVE-2026-87491のような脆弱性を悪用すると、攻撃者がブラウザプロセス内で任意のコードを実行できる可能性があり、保存されたパスワード、アクティブなセッションクッキー、閲覧履歴、オートフィルデータが漏洩する恐れがあります。銀行、メール、仕事用アカウントにChromeを使用している人にとって、未パッチのV8脆弱性は理論上のリスクではなく、資格情報の窃取やセッションハイジャックの現実的な突破口となります。

ブラウザがAIツールや拡張機能へのゲートウェイとしてますます機能するようになっていることで、リスクはさらに高まっています。最近の別の調査では、ZenityがClaudeやChatGPT AtlasなどのAIブラウザアシスタントに影響するゼロクリック脆弱性を発見し、現代のブラウザ内の攻撃対象領域が従来のウェブコンテンツをはるかに超えて拡大していることを示しました。侵害されたブラウザエンジンは、これらの接続されたツールとそれらが扱うデータを侵害するための足がかりとなる可能性があります。

あなたへの影響

Chromeを使用している場合、最も重要な行動は明白です：すぐに更新してください。Chromeは通常自動的にアップデートを適用しますが、修正はブラウザを再起動した後にのみ有効になります。多くのユーザーは数十のタブを開いたまま数週間再起動せずにいるため、パッチが適用されたコードは非アクティブなままで、脆弱なバージョンがバックグラウンドで実行され続けます。

現在の状態を確認するには、Chromeのメニューを開き、[ヘルプ] に移動して、[Google Chromeについて] を選択してください。ブラウザに現在のバージョンが表示され、保留中のアップデートが自動的にダウンロードされます。ブラウザを再起動してプロセスを完了してください。これはWindows、macOS、Linux上のChromeだけでなく、Microsoft EdgeやBraveなどのChromiumベースのブラウザにも適用されます。これらは同じ基盤エンジンを共有しているため、通常は同様のタイムラインで同等の修正を受け取ります。

2026年に悪用されたChromeゼロデイが頻繁に出現していることを考えると、ブラウザの更新を時折の雑務ではなく日常的な習慣として扱うことは、曝露を減らす最も簡単な方法の1つです。自動更新を有効にし、定期的にブラウザを再起動することで、パッチが利用可能になってから実際に保護されるまでのギャップを埋めることができます。

実行可能なポイント

  • [ヘルプ] > [Google Chromeについて] から今すぐChromeを更新し、ブラウザを再起動してCVE-2026-87491の修正を適用してください。
  • 自動更新が有効になっていることを確認し、将来のパッチ（今後のChromeゼロデイ発見の修正を含む）が手動操作なしでインストールされるようにしてください。
  • ブラウザを無期限に実行したままにせず、定期的に再起動してください。更新は再起動後にのみ有効になるためです。
  • 使用しているChromiumベースのブラウザにも同じ更新習慣を適用してください。これらはChromeの基盤となるV8エンジンと脆弱性を共有することが多いためです。
  • 年間を通じてセキュリティ勧告に注意を払ってください。2026年に確認されたChromeゼロデイが7件目であることを考えると、年末までにさらなる緊急パッチが発生する可能性が高いです。