「Chromium」に脆弱性 – 「Chrome」や「Edge」など広く影響

米当局は、「Chromium」のスクリプトエンジンである「V8」に判明した脆弱性が、すでに実際に悪用されているとして注意喚起を行った。「Chromium」をベースとするGoogle ChromeやMicrosoft Edgeなど、Chromium系ブラウザへ広く影響するおそれがあり、関係各社は更新版で修正を進めている。

事案の詳細

Chromiumは、複数のウェブブラウザで共通して利用されている基盤ソフトウェアであり、これに脆弱性が見つかったことで、Chromiumを採用するブラウザにも影響が及ぶ状況となった。今回問題となっているのは、スクリプトエンジン「V8」に確認された脆弱性「CVE-2026-85046」であり、Google ChromeやMicrosoft Edge、Opera、Vivaldiなど、Chromiumをベースに開発されているブラウザが影響を受ける可能性がある。特定の単一製品に限らず、複数ブラウザにまたがって影響が生じる点が特徴だ。

「CVE-2026-85046」は型の取り違え（type confusion）に起因する脆弱性であり、攻撃者が細工したHTMLページを表示させることで、サンドボックス内部で任意のコードを実行されるおそれがあるとされている。サンドボックス内とはいえ任意コード実行が可能になるため、他の脆弱性などと組み合わせて、さらなる攻撃につながるリスクも懸念されている。

米サイバーセキュリティ当局は、本脆弱性がすでに現実世界で悪用されていることを踏まえ、既知の悪用事例をまとめたカタログへ追加するとともに、関係機関へ対策期限を示して修正を求めている。これを受けてGoogleは現地時間2026年9月3日、「Chromium」をベースとする「Chrome」に対しアップデートを公開し、同脆弱性を修正した。Microsoft EdgeやOpera、Vivaldiなどその他のChromium系ブラウザも、順次アップデートやアナウンスを行っている。

影響を受けるバージョンの細かな一覧や、個々のブラウザにおけるリリース番号の詳細については、各ベンダーの公開情報に委ねられており、本記事の入力情報のみからは網羅的な確認ができない。一方で、各社が更新によって修正を行っていることは明らかであり、利用者側ではブラウザを最新の状態に保つことが重要になる。

影響と背景

Chromiumは幅広いブラウザに使われる基盤であるため、脆弱性が見つかると影響範囲が大きくなりやすい。今回の「CVE-2026-85046」のように、ChromeやEdge、Opera、Vivaldiなど導入率の高いブラウザが含まれることで、個人利用だけでなく企業の業務端末、さらには官公庁などの環境にも影響が及ぶ可能性がある。

ブラウザは日々の情報閲覧、業務システムの利用、クラウドサービスへのアクセスなどに欠かせない基盤であり、脆弱性が残った状態で利用が続くと、標的型攻撃やマルウェア感染の入口となりやすい。とくに今回のように、悪用が確認されている脆弱性が土台となるコンポーネントに存在する場合、更新の遅れはそのままリスクの増大につながる。

対策・今後の展望

• ブラウザの更新：Chrome、Edge、Opera、Vivaldiなど、利用しているChromium系ブラウザを最新版へ更新し、「CVE-2026-85046」などの修正が反映されている状態にする。自動更新を有効にしている場合でも、バージョンが最新かどうかを明示的に確認することが望ましい。
• 端末の一斉確認：社内で利用ブラウザが統一されていない場合もあるため、業務端末ごとに利用ブラウザとバージョンの更新状況を確認し、未更新端末を残さない。共有PCや外出用ノートPC、会議室端末など、管理が漏れやすい端末も対象に含める。
• 更新運用の徹底：同様のゼロデイ脆弱性やChromium基盤の脆弱性は今後も起こり得るため、ブラウザ更新を「気づいた人がやる」運用に任せるのではなく、担当者や手順、確認サイクルを定めて継続的に実施できる形にする。組織として、重要なブラウザ更新情報を収集し、必要に応じて迅速に展開・適用する体制づくりが重要となる。

CSRIからの現場アドバイス

【現場で何が起きているか】CSRIのMDR運用や診断の現場では、ブラウザ更新が端末ごとにばらつき、古い版が長期間残っている例を多く見ます。特に共有PCや外出用端末は更新確認が漏れやすく、未更新のまま業務利用が続く傾向があります。今回のようにChromium基盤の脆弱性が悪用されているケースでは、この「更新のばらつき」が組織全体のリスクを押し上げる要因になります。

【平易な解説】例えるなら、同じ型の鍵を使う建物で「鍵の弱点」が見つかった状態です。つまり、Chromeだけ直しても、同じ仕組みのEdgeやOpera、Vivaldiなどが古いままだと入口が残ることがあります。Chromium系ブラウザの更新は、その入口を塞ぐ作業です。土台となる鍵の仕組みに不具合があるため、同じ仕組みを使う建物すべてで鍵を交換する必要がある、というイメージです。

【中小企業が今週中にできること】まず社内で使っているブラウザがChrome、Edge、Opera、Vivaldiなどどれかを確認し、全端末で最新版への更新が入っているかを点検してください。次に、更新を促す社内連絡を出し、共有PCや会議室端末については担当者が直接ブラウザのバージョン確認と更新を行います。最後に、毎週または毎月の更新確認日を決めて習慣化し、Chromium系ブラウザを含む主要ソフトウェアの更新状況を定期的にチェックする仕組みを整えます。

参照: 「Chromium」に脆弱性 – 「Chrome」や「Edge」など広く影響