GoogleはChromeブラウザー向けに緊急セキュリティアップデートをリリースし、悪意のあるWebサイトを訪問するだけで攻撃者にユーザーのシステムを乗っ取られる可能性がある深刻な脆弱性に対処した。
WindowsおよびMac向けの141.0.7390.107/.108未満、Linux向けの141.0.7390.107未満のChromeが影響を受ける。
香港CERTチームは発表した。「リモートの攻撃者はこの脆弱性を悪用し、標的システム上でリモートコード実行を引き起こす可能性がある」
Chromeのセーフブラウジングの脆弱性が発見
この脆弱性（CVE-2025-11756）は、Chromeのセーフブラウジング機能に影響を及ぼす。この機能は、フィッシングサイトやマルウェアのダウンロードからユーザーを保護するために設計された重要な防御層だ。
この脆弱性は2025年9月に研究者によって発見され、Googleに報告された。記事公開時点で、Googleはこの脆弱性の技術的な詳細を明らかにしていない。
セーフブラウジングは高い権限で動作するため、攻撃が成功するとChromeのサンドボックス保護を回避され、基盤となるOSへの完全なアクセスを許す可能性がある。
Chromeの脆弱性の仕組み
この問題は、Chromeのセーフブラウジングプロセスで発生した、CWE-416に分類されるuse-after-freeメモリエラーに起因する。
この種のバグは、すでに解放されたメモリをプログラムが参照し続けることで発生し、攻撃者がメモリの内容を操作して悪意のあるコードを挿入する機会を生み出す。
この脆弱性を悪用すると、リモートの攻撃者が被害者のデバイス上で任意のコードを実行し、マルウェアのインストールやデータの窃取、ブラウザーセッションの乗っ取りを行える可能性がある。
攻撃には、ユーザーが侵害されたWebページや悪意のあるWebページを訪問するだけでよく、それ以上の操作は必要ない。他のゼロクリック攻撃と同様だ。
Googleは標準的な情報開示方針の一環として、大半のユーザーがパッチを受け取るまで脆弱性の完全な技術的詳細を公開しない。この段階的な情報開示により、より広範なユーザーベースが保護されていない間に、脅威アクターがエクスプロイトを開発するのを防ぐことができる。
組織がリスクを低減する方法
Googleのパッチは当面の脆弱性に対処するものだが、組織は環境を強化し、将来の同様の攻撃から保護するため、次のような追加対策を講じるべきだ。
- パッチ適用を優先する：Chromeの最新アップデートを直ちに適用し、組織全体で一貫したパッチ管理を徹底する。
- バージョンと拡張機能を管理する：Chromeのビルドを標準化し、検証済みで信頼できる拡張機能だけを許可する。
- ネットワークを利用し、DNS保護：セキュアWebゲートウェイやDNSフィルタリングで悪意のあるドメインをブロックする。
- エンドポイントを強化する：管理者権限を制限し、リスクの高いブラウジングを分離し、エクスプロイト緩和制御を有効にする。
- 異常を監視する：エンドポイント検知・対応（EDR）などのツールを使い、Chromeやネットワーク上の異常な活動を検知する。
- ユーザーを教育する：安全なブラウジングと、信頼できないサイトを訪問するリスクについて従業員を訓練する。
これらの対策を組み合わせることで、多層防御が構築され、ブラウザーの脆弱性による影響を最小限に抑え、サイバーレジリエンス全体を強化できる。
現代のブラウザーで拡大する攻撃対象領域
この脆弱性は、ブラウザーセキュリティの複雑化と、メモリ関連の脆弱性から防御し続けることの難しさを浮き彫りにしている。
Chromeの堅牢なサンドボックス化と分離機能があっても、わずかなコーディングミスが強力な攻撃経路になり得る。セーフブラウジングでさえ、悪用を免れるコンポーネントではないことを示すものだ。
ブラウザーが拡張機能、Web API、クラウド連携をサポートする本格的なアプリケーションプラットフォームへと進化するにつれ、攻撃対象領域は拡大し続けている。
この複雑さにより、従来のテストやサンドボックス化だけでは効果が薄れ、継続的なメモリ安全性の改善、DevSecOpsの実践、そして積極的な脆弱性調査の必要性が浮き彫りになっている。
脅威が信頼されたアプリケーションやコンポーネントを悪用する傾向を強める中、ゼロトラストセキュリティモデルを採用することが不可欠となる。これにより、ユーザー、デバイス、プロセスを初めから自動的に信頼しない状態を確保できる。