GoogleはChrome 157で、グラフィックス描画やメモリー処理などを担うブラウザーコンポーネントに影響する重大な欠陥7件を含む、213件のセキュリティ脆弱性を修正した。
このアップデートは11月3日にWindows、macOS、Linux向けにリリースされ、重大な問題に加えて深刻度の高い脆弱性77件にも対処している。Googleは修正を段階的に配布しており、インストールを完了するにはブラウザーの再起動が必要になる場合がある。
Googleは悪用が確認された証拠を明らかにしていないものの、脆弱性の数と深刻度を考えると、Chrome 157は個人ユーザーや企業のセキュリティチームにとって重要なアップデートだ。
ブラウザーのセキュリティに影響する重大な欠陥7件
重大な脆弱性は、Dawn、ANGLE、WebGL、Prerender、Geometry、Coreなど、Chromeの複数のコンポーネントに影響する。
このうち2件は、ChromeのWebGPU実装を支えるDawnのバッファーオーバーフローだ。1件目のCVE-2026-121156は、depthfirstのZhenpeng (Leo) Lin氏が報告し、1万ドルのバグ報奨金を獲得した。もう1件の重大な欠陥であるCVE-2026-121229は、Chromeのグラフィックス変換レイヤーであるANGLEのメモリー破損に関するものだ。研究者の@ mfxがこの問題を報告し、1000ドルの報奨金を受け取った。
残る重大な脆弱性5件には、use-after-free（解放後使用）の問題4件と、別のバッファーオーバーフロー1件が含まれる。こうしたメモリー安全性の欠陥はクラッシュを引き起こす可能性があり、影響を受けるコンポーネントや悪用条件によっては、攻撃者による悪意あるコードの実行を許すおそれもある。
このアップデートでは、深刻度の高い脆弱性77件も修正した。これには、V8、PDFium、ANGLEなどのコンポーネントに影響する認証の弱点、メモリー破損、型混同の問題が含まれる。Googleによると、これまでに研究者へ支払ったバグ報奨金は合計3万1000ドルに上る。ただし、報告された39件の欠陥については、報奨金がまだ決まっていない。
AIを活用したセキュリティ研究に注目集まる
このリリースのもう一つの注目点は、脆弱性の発見におけるAIツールの役割の拡大だ。Googleのアドバイザリーでは、Anthropicの研究者Xinyang Geについて、Claudeの支援を受けた複数の発見を挙げている。これには、Prerender、GeometryなどChromeのコンポーネントに存在する欠陥が含まれる。
OpenAI Codex Securityも、V8やPDFiumに影響する問題など、複数の脆弱性の報告者として名前が挙がっている。
こうしたクレジットは、AIを活用した脆弱性研究の存在感が高まっていることを示す。ただし、AIシステムが脆弱性を独自に発見したり、検証したりしたことを意味するわけではない。ブラウザー開発者にとって、こうしたツールは報告される脆弱性の量を増やす可能性がある。その結果、攻撃者に悪用される前に、報告内容を調査し、修正の優先順位を決め、パッチを提供する必要性が高まる。
Chromeユーザーが今すべきこと
Chromeユーザーは、自動ロールアウトをいつまでも待つのではなく、バージョン157をインストールすべきだ。Googleは修正済みの脆弱性が現在悪用されているとは明らかにしていないが、重大な欠陥と深刻度の高い欠陥の数を考えると、アップデートを遅らせることは不要なセキュリティリスクとなる。
アップデートを確認するには、Chromeの3点メニューを開き、「ヘルプ」>「Google Chromeについて」に移動して、ブラウザーに新しいバージョンを確認させる。アップデートが利用可能な場合は、「再起動」を選択してインストールを完了する。
Android版Chromeもバージョン157.0.8103.38をGoogle Play経由で受け取っており、今後数日間で利用可能なユーザーが拡大する。
企業はブラウザーのアップデートをセキュリティ上の優先事項として扱うべき
企業にとって、Chrome 157は、ブラウザーのセキュリティを日常的なエンドポイント管理の中で重視すべきだという、あらためての警告となる。
企業のITチームにとって優先すべきなのは、Chrome 157が管理対象エンドポイントに行き渡っていることと、従業員がブラウザーを再起動して修正を有効にしていることを確認することだ。管理者はエンドポイント管理ツールを使って古いインストールを特定し、アップデートの適用状況を確認するとともに、ロールアウトから取り残されたデバイスを調査すべきだ。
IT管理者は、管理対象デバイスが修正済みバージョンを受け取っていることを確認し、古いリリースを引き続き実行しているエンドポイントを特定すべきだ。ブラウザーを長時間開いたままにする従業員には、Chromeを再起動してアップデートを完了するよう促す必要もある。
組織は、管理対象外のデバイスや企業ネットワークに定期的に接続しないシステムに特に注意を払うべきだ。こうした環境では、アップデートの適用状況を監視することが難しい場合がある。
Googleは、より多くのユーザーが修正を受け取るまで一部の技術的詳細を公開せず、悪用経路の可能性に関して得られる情報を制限している。セキュリティチームにとっては、攻撃が現に確認されていない場合でも、迅速な展開と検証が特に重要になる。
そのほかのニュースでは、 Googleの2026年11月のAndroidセキュリティアップデートが、ユーザーの操作なしにリモートコード実行を許す可能性がある重大な欠陥を含む216件の脆弱性に対処し、ユーザーや企業にデバイスのセキュリティパッチレベルの確認を促している。