Google Chrome

Googleは、実環境で悪用されているChromeの新たなゼロデイ脆弱性を修正するための緊急アップデートを公開した。これは今年に入ってから修正された同種の脆弱性としては5件目となる。

「Googleは、CVE-2026-11645に対するエクスプロイトが実環境で存在していることを把握しています」と同社は月曜日のセキュリティアドバイザリで述べた。

同社は、Stable Desktopチャネルのユーザー向けにこのゼロデイ脆弱性を修正し、匿名のセキュリティ研究者がGoogleに報告してから2週間後に、Windows (149.0.7827.102)、Mac (149.0.7827.103)、 およびLinux（149.0.7827.102）システム向けに世界中で展開された。

image

Googleによると、このセキュリティ更新プログラムがすべてのChromeユーザーに届くまでには数日または数週間かかる可能性があるが、本日早朝に更新を確認したところ、更新プログラムは直ちに利用可能となっていた。

ウェブブラウザを手動で更新したくないユーザーは、Chromeが自動的に更新を確認し、次回の起動時にインストールする機能を利用できます。

Google Chrome 149.0.7827.103

この高深刻度のゼロデイ脆弱性（CVE-2026-11645）は、ChromeのV8 JavaScriptエンジンにおける境界外読み取りおよび書き込みの脆弱性に起因しており、リモートの攻撃者は細工されたHTMLページを介してこの脆弱性を悪用し、ウェブブラウザのサンドボックス内で任意のコードを実行することが可能です。

攻撃が成功すると、ヒープ破損を通じてメモリバッファの範囲外のデータにアクセスできるようになり、機密情報の漏洩やクラッシュを引き起こす可能性があります。

境界外メモリへの不正アクセスに加え、現在修正済みのこのゼロデイ脆弱性は、ASLR（アドレス空間配置ランダム化）などの保護メカニズムを迂回するために悪用される可能性もあり、別の脆弱性を介してコード実行を達成することを容易にしていました。

Googleは、攻撃に利用されたCVE-2024-0519のゼロデイ攻撃について認識していると述べたものの、これらのインシデントに関する詳細についてはまだ公開していない。

「大多数のユーザーが修正プログラムを適用するまで、バグの詳細やリンクへのアクセスは制限される可能性があります」とGoogleは述べた。「また、他のプロジェクトも同様に依存しているサードパーティ製ライブラリにこのバグが存在し、かつまだ修正されていない場合も、制限を維持します。」

今年に入ってから、Googleは攻撃に悪用されたゼロデイ脆弱性をさらに4件修正した：

昨年、Googleは実環境で悪用された別の8件のゼロデイ脆弱性を修正しました。その多くは、スパイウェア攻撃で使用されるゼロデイエクスプロイトの特定と追跡で知られる同社のThreat Analysis Group（TAG）によって報告されたものです。