Chrome 152にゼロデイ脆弱性CVE-2026-85046 — V8の型取り違え、悪用をGoogleが確認

Googleは2026年9月3日、デスクトップ向けChromeの安定版チャネルを 152.0.7977.82/.83（Windows/Mac）および152.0.7977.82（Linux） へ更新したと、同社が運営するChrome Releasesブログで発表した。今回のビルドには12件のセキュリティ修正が含まれ、同社はそのうち1件について悪用が実際に確認されていると明記した。9月1日に26件の修正を含む152.0.7977.75/.76へ更新したのに続く、2日後の追加アップデートだ。

悪用が確認されたCVE-2026-85046

Chrome Releasesブログによると、悪用が確認されているのは CVE-2026-85046（Type confusion in V8） で、重要度はHighとされている。V8はChromeがJavaScriptを実行するためのエンジンで、Type confusion（型の取り違え）はプログラムがデータの型を誤って扱うことでメモリ破壊を引き起こす種類の脆弱性だ。細工したウェブページを閲覧させることで、ブラウザの権限でのコード実行などにつながる可能性があると一般に知られている。

同脆弱性は2026年8月4日にセキュリティ研究者のSalvatore Gulizia氏（Serotav）が報告したもので、Googleは「CVE-2026-85046の悪用が実際に存在することを把握している」と説明している。報告者への報奨金は1,000ドルと記載されている。

12件の修正内訳

今回の安定版で修正された12件のうち、CVE-2026-85046以外の11件について、Googleは悪用の言及をしていない。内訳は次の通りだ。

• High: CVE-2026-85052（CrashReportingの範囲外読み取り）、CVE-2026-85043（Networkの不完全なクリーンアップ）、CVE-2026-85048（CompositingのUse after free）、CVE-2026-85045（V8の競合状態）、CVE-2026-85050（WebGLの範囲外書き込み）、CVE-2026-85053（CacheStorageの不適切なリソース公開）、CVE-2026-85042（DevToolsのUse after free）、CVE-2026-85049（SkiaのUse after free）、CVE-2026-85051（CompositingのType confusion）
• Medium: CVE-2026-85047（Transactions Platformの入力検証不備）、CVE-2026-85044（Mobileの解放済みリソースの使用）

Googleはバグの詳細へのアクセスについて「多数のユーザーが修正を適用するまで制限を維持する」と説明しており、第三者ライブラリに起因する場合は依存先の修正が行き渡るまで非公開を続ける方針だ。

対象バージョンと配信

対象はデスクトップの安定版チャネルで、WindowsとMacが152.0.7977.82/.83、Linuxが152.0.7977.82だ。Chromiumのログで変更点の全体を確認できるとGoogleは案内している。配信は数日〜数週間かけて段階的に行われ、ブラウザの再起動で修正が適用される。

Googleは、AddressSanitizerやMemorySanitizer、Control Flow Integrity、libFuzzer、AFLといった検出技術が開発サイクル中に多くのセキュリティバグの発見に寄与したと説明している。

利用者と管理者が行うべきこと

Googleは安定版チャネルの利用者に対し、ブラウザの再起動で更新を適用するよう案内している。悪用が確認されている脆弱性を含むため、修正の適用を遅らせるほど悪用のリスクが高まる可能性がある。

企業でChromeを管理している場合は、Windows/Mac/Linuxの各端末が152.0.7977.82以降（Windows/Macは.83を含む）に更新されているかをインベントリで確認し、自動更新が無効化されている端末では手動での再起動を促したい。Googleが案内するChromeセキュリティページやバグトラッカーの情報も併せて確認するとよい。

出典

• Stable Channel Update for Desktop（2026年9月3日）— Google Chrome Releases