Google Chrome の脆弱性 CVE-2026-125350 の影響確認と対処手順

2026年11月9日に公開された Google Chrome の安定版 157.0.8103.50 は、XML 処理の解放後使用（use-after-free）の脆弱性「CVE-2026-125350」を修正した。Google は「この脆弱性の悪用コード（exploit）が実環境に存在することを把握している」と明記しており、11月10日には米CISAの悪用確認済み脆弱性（KEV）カタログにも追加された。Chrome を使っている端末では、バージョンを確認して再起動まで済ませたい。

本記事は2026年11月11日時点の Chrome Releases、NVD、CISA KEV、Microsoft Edge のセキュリティリリースノートに基づく。確認できなかった点は「公式に明記なし」「執筆時点では未公開」と書き、推測では埋めていない。同じ日の他の脆弱性は11月11日の脆弱性まとめにまとめている。

- 何が起きたか: Chrome の XML 処理に解放後使用の脆弱性（CVE-2026-125350、深刻度 High）があり、悪用が確認されている。細工された Web ページを開くと、ブラウザ内で任意のコードを実行され得る。CVSS 3.1 は 8.8（Chrome の CNA による評価）。11月10日に CISA KEV へ追加され、米連邦機関の対応期限は11月24日。
- 誰が対象か: 157.0.8103.50 より前の Chrome（Windows・Mac・Linux のデスクトップ版）。Microsoft Edge など Chromium を使う他のブラウザも、各社の修正版が出るまでは影響し得る。
- 今日やること: ①Chrome を 157.0.8103.50 以上へ更新し、②ブラウザを再起動し（更新だけでは動作中のプロセスが入れ替わらない）、③会社の端末は管理コンソールや配布ツールで更新状況を一括確認し、④Edge など他の Chromium 系は各社のリリースノートを確認する。

Chrome の公式リリース情報によれば、修正は安定版 157.0.8103.50 系で行われた。段階的に展開されるため、手元の Chrome にまだ配信されていないことがある。その場合は手動で更新の確認を行う。

NVD の記載では、影響を受けるのは「157.0.8103.50 より前の Chrome」である。上の表の Windows・Mac の .50 と .51 は、Chrome Releases の記載どおりプラットフォームごとの版番号の違いで、どちらも修正版として扱ってよい。

解放後使用（use-after-free）は、プログラムがいったん解放したメモリを、その後も使い続けてしまうタイプのバグである。Chrome の場合、これがブラウザの XML を処理する部分にあった。Chrome Releases は「Use after free in XML」と記し、深刻度を High、報告日を2026年11月6日（報告者は匿名）としている。

NVD に掲載された Chrome の CNA による評価は CVSS 3.1 で 8.8、ベクターは AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H である。読み解くと、ネットワーク越しに、特別な権限なしで、低い複雑さで攻撃でき、ユーザーがページを開くなどの操作（UI:R）が必要で、機密性・完全性・可用性のいずれにも大きな影響があり得る、という意味になる。つまり、細工された Web ページを開くと、ブラウザ内で任意のコードを実行され得る。

攻撃の具体的な手法について、Google は詳細を公表していない。Chrome Releases は、多くのユーザーが更新を終えるまで、バグの詳細へのアクセスを制限することがあると述べている。本記事でも、公式が公表していない技術的な詳細には立ち入らない。

同じ安定版 157.0.8103.50 では、全部で9件のセキュリティ修正が行われている。Chrome Releases には、別の XML の解放後使用 CVE-2026-125346（High）と、V8 の型の取り違え CVE-2026-125344（High）も含まれる。これらについて悪用が確認されているとの記載は、本記事の執筆時点で CVE-2026-125350 のみである。いずれにしても、157.0.8103.50 以上にすれば同じ更新で修正される。

Chrome Releases の文面は「Google is aware that an exploit for CVE-2026-125350 exists in the wild.」である。さらに CISA は11月10日にこの脆弱性（Google Chromium）を KEV カタログへ追加し、米連邦機関への対応期限を11月24日とした。KEV は、実際の悪用が確認された脆弱性だけを載せるカタログである。米国の連邦機関には期限が義務づけられるが、日本の民間企業に法的な義務はない。ただし「悪用されている」ことの信頼できる指標であり、優先度は高い。

一方で、どのような攻撃キャンペーンで、誰が、どのくらいの規模で悪用しているかは、公式に明記されていない。不安をあおる情報や出所不明の「検証コード」には距離を置き、まずは更新を済ませることが最も確実な対応である。

最も簡単なのは、Chrome の画面からの確認である。右上のメニュー（縦の三点）から「ヘルプ」「Google Chrome について」を開く（アドレスバーに chrome://settings/help と入力してもよい）。表示されるバージョンが 157.0.8103.50 以上であれば、更新は適用されている。更新が未適用なら、このページを開いた時点で自動的にダウンロードが始まる。ダウンロードが終わったら「再起動」を押す。再起動しないと、動作中の古いプロセスが残る。

コマンドで確認する場合は、次のとおり。いずれも自分が管理する端末で、バージョンを表示するだけの操作である。Windows の PowerShell では、既定のインストール先なら次で確認できる。

Mac では、ターミナルで次を実行する。

Linux では次を実行する。

表示された値が 157.0.8103.50 以上かを見る。ユーザー単位でインストールされている場合や、Chrome の配置先を変えている場合は、パスが異なる。また、これらのコマンドで見えるのは「インストール済みの版」であり、起動したままのブラウザが古い版で動いていることもある。更新後は必ず再起動し、「Google Chrome について」の画面でも確認するのが確実である。

「Google Chrome について」を開いて更新し、再起動する。ブラウザを閉じてもバックグラウンドで動くアプリ設定の場合は、タスクトレイの Chrome も終了させる。完了後に、もう一度バージョンを確認する。

同じく「Chrome」メニューの「Google Chrome について」から更新し、再起動する。Mac では、アプリのウィンドウを閉じただけでは終了していないことが多い。Dock のアイコンで右クリックして「終了」するか、Command+Q で完全に終了させてから開き直す。

公式のパッケージリポジトリから入れている場合は、パッケージマネージャーで更新する。Debian・Ubuntu 系は次のとおり。

Fedora・RHEL 系は次のとおり。

更新後は、動作中の Chrome を終了して起動し直し、google-chrome --version で 157.0.8103.50 以上かを確認する。

社員の端末台数が多い場合は、個々の確認に頼らず、管理側で更新状況を把握する。Google 管理コンソールや Chrome Enterprise のポリシーを使っているなら、Chrome の再起動を促すポリシー（RelaunchNotification、RelaunchNotificationPeriod）を設定し、更新後に長期間再起動されない端末を減らせる。Windows では Intune やグループポリシー（GPO）、Mac では MDM の配布機能で、Chrome の更新と、バージョンを報告させる仕組みを使うとよい。

あわせて、会社の資産管理ツールで「Chrome が 157.0.8103.50 未満の端末」を一覧にし、未更新の端末の持ち主へ個別に連絡する流れを作っておく。出張や在宅でネットワークにつながる頻度が低い端末は、更新が遅れやすい。更新作業の運用全般は、中小企業のパッチ・アップデート管理ガイドも参考になる。

Edge は Chromium をベースにしているため、同じ脆弱性の影響を受け得る。Microsoft の Edge セキュリティリリースノートでは、11月9日付で「悪用されていることを把握しており、セキュリティ修正のリリースに向けて作業している」と案内されている。同ページに載っている直近の安定版は11月5日の 157.0.4341.42 だが、この記載は CVE の番号も修正の有無も示していない。執筆時点では CVE-2026-125350 の修正版は未公開である。 Edge のリリースノートを確認し、修正版が出たら速やかに更新する。

Brave・Vivaldi・Opera などの Chromium 系ブラウザや、Electron 製のデスクトップアプリ（チャット・会議・開発ツールなど）は、それぞれの提供元が Chromium の更新を取り込んだ版を出すまで、同じ問題を抱え得る。各社の公式リリースノートで、Chromium のどの版に追従したかを確認する。本記事では、これらの修正版の番号は検証していないため記載しない。

Chrome Releases の今回の記載（Stable Channel Update for Desktop）は、デスクトップ版の更新を対象としている。Android や iOS のモバイル版の修正版については検証していないため、本記事では版番号を挙げない。モバイルは、ストアに更新が出ていないかを確認し、あれば適用しておくとよい。

更新できない事情（検証待ち、再起動できない業務、更新を止めている端末など）があるときの、暫定的な対策を挙げる。いずれも根本の修正ではなく、更新までの時間を稼ぐ手段である。

- 出所の分からない URL（メール・チャット・SMS・広告）を開かない。業務に必要のないサイトを閲覧しない
- 更新が終わるまでは、重要な管理画面や会計・認証の画面を、未更新のブラウザで開かない
- 未更新の端末は、特権アカウント（管理者）での利用を避け、一般ユーザーで使う
- Web フィルタリングやセキュアな DNS で、危険なサイトへの接続を減らす
- 更新を一時的に止めているポリシーがあれば解除し、再起動の期限を短く設定する
- 更新が難しい端末は、別のブラウザで代替できるか検討する（ただし Chromium 系は同じ影響を受け得る点に注意）

緩和策は、あくまで暫定の対応である。悪用が確認されている以上、更新と再起動を早く終えることが最優先になる。

報告から修正版の公開まで、わずか3日である。修正版は段階的に展開されるため、「自動更新が済んでいるはず」と考えず、手元で確認したい。

- 自分の Chrome で「Google Chrome について」を開き、157.0.8103.50 以上かを確認する
- 更新が出ていれば適用し、ブラウザを完全に再起動する
- 会社の端末は、管理コンソールや資産管理ツールで、157.0.8103.50 未満の端末を一覧にする
- 未更新の端末の持ち主に連絡し、再起動まで終えてもらう
- 再起動を促すポリシー（RelaunchNotification、RelaunchNotificationPeriod）を設定する
- Edge は、リリースノートで修正版の公開を確認し、出たら更新する
- Brave・Vivaldi・Opera や Electron アプリは、提供元の更新情報を確認する
- 更新が終わるまでの間、出所の分からないリンクを開かないよう社内へ周知する
- 更新の漏れを防ぐ体制を見直す場合は、中小企業のパッチ・アップデート管理ガイドを参考にする

- 2026年11月11日の脆弱性まとめ
- 中小企業のパッチ・アップデート管理ガイド
- 脆弱性診断の費用相場

- Chrome Releases「Stable Channel Update for Desktop」（2026-11-09）: https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_018223192.html
- NVD CVE-2026-125350（CVSS 3.1 8.8）: https://nvd.nist.gov/vuln/detail/CVE-2026-125350
- CISA 既知の悪用された脆弱性カタログ（2026-11-10 追加、期限 2026-11-24）: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Microsoft Edge セキュリティリリースノート: https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security