【緊急】2026年5回目のChromeゼロデイ「CVE-2026-11645」発覚、V8エンジンに深刻な脆弱性

また、範囲外読み取り/書き込み（OOB Read/Write）は、攻撃者がOSレベルの防御機構であるアドレス空間配置のランダム化（ASLR）を回避するために悪用できる強力な手段でもあり、技術的にはサンドボックス脱出への足がかりとなる深刻な問題です。Googleの公式見解では「サンドボックス内での任意コード実行」とされていますが、セキュリティ専門家は、より深いシステムへの侵入を可能にする危険性を指摘しています。

パッチの詳細とアップデート方法

今回の緊急パッチは、2026年6月8日に安定版チャンネル向けにリリースされたもので、デスクトップ版のChromeが対象です。 Googleは公式声明で「CVE-2026-11645に対するエクスプロイト（攻撃コード）が実在することを認識している」と明言しており、すべてのユーザーにとって即時適用が強く推奨されるアップデートです。

修正済みバージョンは以下のとおりです：

• Windows および Linux 版： Chrome 149.0.7827.102
• macOS 版： Chrome 149.0.7827.103

Chromeは通常バックグラウンドで自動更新されますが、機能の配信には数日から数週間かかる場合があります。いますぐ手動でアップデートを適用するには、ブラウザ右上のメニュー（三点リーダー）から [ヘルプ] > [Google Chromeについて] を開き、アップデートを確認して適用してください。大規模組織でChromeを管理されている方は、全管理端末が最新の安定版に更新されているかを確認し、この緊急パッチの展開を急ぐことをお勧めします。

5万5000ドルのバグ報奨金と発見の経緯

この脆弱性をGoogleに報告したのは、「303f06e3」というハンドルネームで活動する匿名のセキュリティ研究者です。報告日は2026年4月27日で、発見から約1カ月半で緊急パッチの公開に至りました。

GoogleはChrome脆弱性報奨金プログラム（VRP）を通じて、この発見に対し5万5000ドル（約825万円） の報奨金を支払っています。この金額は、V8エンジンのように権限が高く影響範囲が大きいコンポーネントの深刻なメモリ破壊バグに対する報奨としては標準的なものです。 なお、Googleの公式Chromeリリースブログでは報奨金額が言及されていますが、個別のバグごとに恒常的に金額が公開されているわけではない点は補足しておきます。

2026年、Chromeゼロデイ攻撃の加速

CVE-2026-11645の修正により、2026年に入ってからすでに悪用が確認された上でパッチが適用されたChromeのゼロデイ脆弱性は、合計5件に達しました。 このペースは、近年の同時期と比較しても顕著な増加傾向を示しており、攻撃の高度化・頻発化が浮き彫りになっています。6月以前に修正された4件を含む、2026年全件の一覧がこちらです。

• CVE-2026-2441（2026年2月修正）：ChromeのCSS処理における「解放後使用（Use-After-Free）」の脆弱性。細工したHTMLページによりサンドボックス内で任意のコード実行が可能でした。発見者はShaheen Fazim氏。
• CVE-2026-3909（2026年3月12日修正）：Skia（2Dグラフィック描画エンジン）における「範囲外書き込み」の脆弱性。同じ3月のアップデートで、次のCVE-2026-3910と同時に修正されました。
• CVE-2026-3910（2026年3月12日修正）：V8における「不適切な実装」の脆弱性。サンドボックス内での任意コード実行を許す欠陥で、CVE-2026-3909と同じアップデートでパッチが提供されました。
• CVE-2026-5281（2026年4月1日修正）：Dawn（WebGPU実装）における「解放後使用」の脆弱性。米国サイバーセキュリティ・社会基盤安全保障庁（CISA）が「悪用が確認された脆弱性カタログ（KEV）」に追加し、米国連邦政府機関に対して緊急の修正を義務付けました。

早急な対策を：いますぐChromeを更新してください

「Chromeの自動更新を待つ余裕はない」——これが今回の緊急パッチに対する率直な評価です。攻撃コードが実際に出回っている以上、古いバージョンのChromeを使い続けることは、ドアに鍵をかけずに家を空けるようなものです。いますぐChromeのメニューから [Google Chromeについて] を開き、バージョンが149.0.7827.102以降（Macでは149.0.7827.103以降）であることを確認してください。

IT管理者の方は、組織内の全端末に対するアップデートの緊急展開と、Microsoft EdgeやBraveなど、V8エンジンを共有する他のChromium系ブラウザのアップデート状況も併せてご確認いただくことを強く推奨します。