Chromeは今すぐ更新を、重大脆弱性で遠隔コード実行の恐れ。確認すべき最新版と対策

Chromeは今すぐ更新を、重大脆弱性で遠隔コード実行の恐れ。確認すべき最新版と対策

Google Chromeに、緊急度の高いセキュリティ更新が配信されています。今回のアップデートでは、細工されたWebページを開くだけで攻撃につながる可能性がある重大な脆弱性が修正されており、Windows、macOS、Linuxの利用者はいずれも早めの確認が必要です。特にWebRTCやブラウザのUI表示に関わる不具合は、一般ユーザーが危険を見抜きにくい形で悪用される可能性があるため、「自動更新されるはず」と放置せず、Chromeの設定画面から最新版になっているかを確認しておきたい状況です。Googleは2026年5月19日にデスクトップ版Chromeの安定版アップデートを公開し、WindowsとmacOS向けに148.0.7778.178/179、Linux向けに148.0.7778.178を順次配信すると案内しています。Chrome Releases

Chromeの重大アップデート、今回はなぜ急ぐべきなのか

今回のChrome更新が重要なのは、単なる表示不具合や軽微なクラッシュ修正ではなく、攻撃者によるコード実行や偽画面表示につながる恐れがある脆弱性が含まれているためです。Googleの安定版アップデートでは、複数のセキュリティ修正が実施され、その中でもCVE-2026-9111とCVE-2026-9110は深刻度が高い問題として扱われています。Chrome Releases+1

ブラウザの脆弱性が危険なのは、利用者が特別なソフトをインストールしなくても、Webページを開くという日常的な操作だけで攻撃の入口になり得る点です。メールやSNS、検索結果、広告、チャットに貼られたリンクから不正なページへ誘導されると、利用者は「ただページを見ただけ」のつもりでも、内部ではメモリ破壊や偽装表示などの攻撃処理が試みられる可能性があります。

Chromeは自動更新機能を備えていますが、更新ファイルを取得しても、ブラウザを再起動するまで反映されないケースがあります。仕事用PCでChromeを何日も開きっぱなしにしている人、タブを大量に保持している人、リモート会議やクラウド業務で常時Chromeを使う人ほど、更新が完了していない可能性を意識する必要があります。

修正された主な脆弱性は2つ

今回とくに注目すべきなのは、WebRTCに関するCVE-2026-9111と、WindowsのUI表示に関わるCVE-2026-9110です。どちらもWebブラウザの基本的な信頼性に関わる問題であり、攻撃が成立した場合の影響は小さくありません。

脆弱性	主な影響範囲	想定される危険
CVE-2026-9111	WebRTC、主にLinux環境	細工されたHTMLページを通じた任意コード実行の恐れ
CVE-2026-9110	WindowsのUI実装	偽の画面やダイアログを表示し、利用者をだます恐れ
対策	Chromeの最新版適用	更新後にChromeを再起動し、バージョンを確認する

 

CVE-2026-9111は、WebRTCに存在するUse-After-Freeの脆弱性です。WebRTCは、ビデオ会議、音声通話、画面共有、リアルタイム通信などで使われる技術で、現代のWebサービスでは非常に広く利用されています。Tenableの脆弱性情報でも、Google ChromeのLinux版において、細工されたHTMLページを介して遠隔の攻撃者が任意コードを実行できる可能性が説明されています。Tenable®

Use-After-Freeとは、プログラムが一度解放したメモリ領域を、その後も誤って使い続けてしまう種類の不具合です。通常、不要になったメモリは解放され、別の処理に使われます。しかし、プログラム側が古い参照を残したまま処理を続けると、攻撃者がその隙を突いて本来想定されていない命令を実行させる可能性があります。

このタイプの脆弱性は、見た目には普通のWebページとして表示されるため、利用者がページを開いた瞬間に危険を察知することが難しい点が厄介です。ファイルを実行した覚えがない、警告画面を見ていない、怪しいアプリを入れていないという状況でも、ブラウザ内部では攻撃コードが処理される可能性があります。

Windows利用者が注意すべきUI偽装のリスク

もう一つの重要な脆弱性であるCVE-2026-9110は、Windows環境におけるUIの不適切な実装に関わる問題です。攻撃者がレンダラープロセスを侵害した場合、細工されたHTMLページを通じてUIのなりすましを行える可能性があるとされています。Malwarebytes+1

UI偽装の怖さは、利用者の判断を直接だますところにあります。たとえば、本物のログイン画面や認証ダイアログのように見える偽ウィンドウを表示し、パスワードや認証情報、クレジットカード情報、二要素認証コードなどを入力させる攻撃が考えられます。

フィッシング詐欺と聞くと、URLの不自然さや日本語の違和感で見抜けると考える人もいます。しかし、ブラウザのUIそのものに近い表示を偽装されると、利用者は「Chromeが出している正式な確認画面だ」と思い込みやすくなります。特に、業務用のクラウドサービス、オンラインバンキング、決済サービス、社内システムを日常的に使う環境では、偽画面による認証情報の詐取が大きな被害につながる可能性があります。

Chromeの最新版確認方法

Chromeの更新は基本的に自動で配信されますが、重要なセキュリティ修正では手動確認を行う価値があります。特に今回のように重大な脆弱性が含まれている場合、数日から数週間の順次配信を待つより、設定画面から更新を取りに行く方が安全です。

Chromeを手動で更新する手順は次の通りです。

1. Chrome右上の三点メニューをクリックする

2. 「ヘルプ」を選ぶ

3. 「Google Chromeについて」を開く

4. 更新の確認が自動で始まる

5. 更新が完了したら「再起動」をクリックする

6. 再起動後、表示されるバージョンが最新版になっているか確認する

重要なのは、更新のダウンロードだけで安心しないことです。Chromeは更新ファイルを取得しても、再起動しなければ新しいバージョンが有効にならない場合があります。タブを閉じたくないからと再起動を先延ばしにしていると、脆弱な状態のブラウザを使い続けることになります。

企業や学校では「更新済み」と思い込まないことが大切

個人利用のChromeであれば、自分で設定画面を開いて更新できます。しかし、企業、学校、自治体、医療機関などでは、管理者がChromeの更新タイミングを制御している場合があります。この場合、利用者の画面では更新できない、または更新が遅れて適用されることがあります。

業務端末でChromeを使っている場合は、単に「自動更新だから大丈夫」と考えるのではなく、管理部門が今回の更新を把握しているか、対象端末に配信済みかを確認することが重要です。特にLinux端末を開発用に使っている組織、Windows端末でクラウド業務を行っている組織、ブラウザベースの業務システムに依存している組織では、優先度を上げて対応すべきです。

また、Chromeと同じChromium系の技術を利用するブラウザにも、同種の影響が及ぶ可能性があります。Microsoft Edge、Brave、Vivaldi、Operaなどを使っている場合も、それぞれのブラウザで最新版の配信状況を確認しておくと安心です。Chromium系ブラウザは基盤を共有しているため、Chromeで修正された脆弱性が他のブラウザにも関係することがあります。

「Browser Fetch」問題は今回の修正対象ではない可能性

今回の更新に関連して、一部で注目されているのが「Browser Fetch」と呼ばれる別の脆弱性です。これはChromiumのバグトラッカー上で情報が表に出たことで関心を集めましたが、今回のChrome更新にその修正が含まれているとは確認されていません。

この点は、利用者にとって少し分かりにくいところです。Chromeのアップデートが来たから、話題になっているすべての脆弱性が一度に解決したと考えるのは危険です。セキュリティ更新には、修正済みの問題と、調査中または今後対応予定の問題が分かれて存在します。

したがって、今回すべきことは明確です。まずChromeを最新版に更新し、CVE-2026-9111やCVE-2026-9110など修正済みの脆弱性に対する防御を固める。そのうえで、今後の追加アップデートにも注意を払い、Chromeから再起動を求められた場合は先延ばしにしないことです。

更新後も続けたい安全対策

Chromeを最新版にすることは最優先ですが、それだけでWeb上のすべての脅威が消えるわけではありません。攻撃者は、脆弱性だけでなく、偽ログインページ、悪意ある広告、偽のセキュリティ警告、サポート詐欺、マルウェア配布サイトなど、さまざまな手口を組み合わせます。

とくに最近の攻撃では、利用者に「更新が必要です」「アカウントが停止されます」「本人確認をしてください」と急がせる画面を見せ、冷静な判断を奪う手口が目立ちます。ChromeのUI偽装に関わる脆弱性が話題になっている今だからこそ、ブラウザ上に突然表示されるログイン要求や認証画面には慎重になるべきです。

パスワードを入力する前には、アドレスバーのドメインを確認する。ブックマークや公式アプリからアクセスする。二要素認証を有効にする。パスワードの使い回しを避ける。これらの基本対策は、脆弱性修正後も有効です。

また、拡張機能の見直しも重要です。不要な拡張機能や、提供元が不明な拡張機能は、ブラウザの動作やセキュリティに影響することがあります。Chrome更新後に動作が不安定な場合や、見慣れない広告、検索エンジンの変更、勝手なリダイレクトが発生している場合は、拡張機能やインストール済みアプリを確認する必要があります。

今回の結論、Chromeは再起動まで完了して初めて安全に近づく

今回のChrome更新は、一般ユーザーにとっても企業利用者にとっても優先度の高いセキュリティ対応です。WebRTCのUse-After-Freeによる任意コード実行の恐れ、Windows環境でのUI偽装の可能性はいずれも、日常的なWeb閲覧の中で悪用され得る点が問題です。

Chromeは自動更新される便利なブラウザですが、更新が配信されたことと、自分の環境で反映済みであることは同じではありません。右上のメニューから「Google Chromeについて」を開き、更新を確認し、最後に再起動する。この一連の操作を終えて初めて、今回の修正が有効になります。

ブラウザは、メール、仕事、買い物、銀行、行政手続き、SNS、動画視聴まで、ほぼすべての入口になっています。だからこそ、Chromeの重大アップデートは後回しにしないことが重要です。数分の確認で、コード実行や偽画面による情報詐取のリスクを大きく下げられる可能性があります。今回の更新通知を見た人は、タブを保存するより先に、まずChromeのバージョン確認と再起動を済ませておきたいところです。