Googleは、攻撃者によってすでに悪用されていたChromeのメモリバグをさらに1件修正し、今年の積極的に悪用されたChromeゼロデイの件数は8件になった。最新のChromeゼロデイ2026アップデートはいつものパターンを踏襲している。すなわち、欠陥が実際の攻撃で使われていることが判明し、Googleがパッチを配布し、ユーザーにアップデートと再起動を促すという流れだ。最新の欠陥の詳細は、手元にある報道では乏しいため、この記事ではこのパターンが何を意味するのか、そしてどう対応すべきかに焦点を当てる。

今年Chromeにゼロデイが続く理由

1つのブラウザで年間8件のゼロデイはかなりの数であり、その数は増え続けている。今回の直前には、Chrome 153が2026年7件目のゼロデイを修正した経緯を扱った。そして今回は8件目である。

共通する糸はメモリバグだ。Chromeは、訪問するあらゆるウェブサイトからの信頼できないコンテンツを処理する巨大なコードベースであり、その多くはメモリ処理の誤りが起こり得る言語で書かれている。誤りが混入すると、それが武器に変えられることがある。そのためブラウザは常に標的になる。

「ゼロデイ」とは、攻撃者の方が先に到達したことを意味する。悪用が始まった時点でベンダーには利用可能なパッチがなく、ユーザーがアップデートによって身を守れた期間は存在しなかった。だからこそ、ひとたび修正が存在すればそれが非常に重要になる。

悪用されたメモリバグで攻撃者にできること

メモリ安全性の欠陥は通常、ブラウザを設計者が意図しなかった方法で動作させることができる。実際には、罠を仕掛けられたページを訪問するだけで、端末上で悪意のあるコードを実行できることを意味し得る。正確な能力は特定のバグや、他の欠陥と組み合わされているかどうかによる。

この組み合わせは理解する価値がある。現代のブラウザはウェブコンテンツをサンドボックスに隔離しているため、完全な侵害には1つのバグでは不十分なことが多い。攻撃者は時に複数の脆弱性を組み合わせて脱出を図る。この点は、サンドボックスを脱出するChromeゼロデイチェーンに関する報告で扱っており、個別のバグがどのように組み合わされて1つの実用的なエクスプロイトになるかを示している。

日常のユーザーにとって重要な点は、ブラウザのエクスプロイトが問題となるために何かをダウンロードしたり、怪しいプロンプトをクリックしたりする必要はないということだ。コンテンツを読み込むだけで十分な場合があり、だからこそ公開されている詳細が乏しくてもこれらのバグは深刻に受け止められる。

VPNがブラウザのエクスプロイトを止めない理由

プライバシーツールがすべてをカバーすると考えがちだ。しかしそうではない。VPNは端末とVPNサーバー間の通信を暗号化し、訪問するサイトからIPアドレスを隠す。信頼できないネットワーク上でのプライバシーには有用だが、ネットワーク層で動作するものだ。

ブラウザのエクスプロイトはブラウザ自体の中で起こる。悪意のあるページがChromeのメモリバグを引き起こす場合、VPNトンネルはエクスプロイトを含めたページを単に運んでいるだけだ。暗号化は、Chromeがページを描画した後にそのページが何をするかを検査したり無効化したりしない。

これは、VPNが設計された用途に使うことに対する反論ではない。異なるツールは異なる問題を解決するという注意喚起だ。ブラウザの脆弱性に対する関連する防御はパッチである。

Chromeが完全に更新されているか確認する方法

Chromeは通常バックグラウンドで自動更新されるが、修正はブラウザが再起動されて初めて適用される。多くの人がChromeを何日も何週間も開いたままにしており、パッチ適用済みだが未適用というギャップを生み得る。

  1. Chromeを開き、右上の3点メニューをクリックする。
  2. ヘルプ、次にGoogle Chromeについてを開く。
  3. Chromeにアップデートを確認させる。利用可能な場合は自動的にダウンロードされる。
  4. プロンプトが表示されたら再起動をクリックする。通常、タブはその後復元される。
  5. 再度Aboutページを開き、Chromeが最新であると表示されることを確認する。

家庭や小規模チームの端末を管理している場合は、Chromeを使うすべてのコンピューターとスマートフォンでこれを繰り返す。同じエンジンを基盤とするブラウザにも独自の修正が届く場合があるため、それらも確認しよう。

組織ではパッチの期限も重要になり得る。CISAによるChromeゼロデイの9月18日期限に関する報道は、悪用が確認されてからガイダンスがどれほど迅速に動き得るかの良い例だ。

これがあなたにとって意味すること

ほとんどの人にとって、単一のゼロデイによるリスクは低く、対処も素早くできる。しかし今年の絶え間ない修正の流れは、ブラウザのアップデートを任意とみなすことが誤りであることを示唆している。攻撃者は明らかにパッチが存在する前にChromeのバグを見つけて悪用しているため、修正が配布されてからあなたが適用するまでの時間こそが、あなたが管理できる部分だ。

いくつかの実用的な習慣が役立つ：

  • Chromeを定期的に再起動する。 ダウンロードされたアップデートは再起動するまで何もしない。
  • Aboutページを確認する。 新しいChromeゼロデイのニュースを見たときはいつでも。
  • オペレーティングシステムも最新に保つ。 ブラウザのエクスプロイトは他の欠陥と連鎖することがあるため。
  • VPNは得意な用途に使う。 公共Wi-Fiでの通信保護など。ただしブラウザ攻撃をブロックすることを期待してはならない。

結論：今すぐアップデートして再起動を

最新のChromeゼロデイ2026アップデートは、ブラウザのエクスプロイトに対する最も効果的な保護はパッチ適用済みのブラウザであることを改めて思い起こさせる。今すぐChromeのAboutページを開き、最新のアップデートをインストールして再起動しよう。今年の問題がどのように積み重なってきたかの背景については、Chrome 153と7件目のゼロデイ修正に関する以前の報告を読んでほしい。1分もかからず、攻撃者がすでに使っていたバグへの扉を閉ざすことができる。