Chrome、悪用確認済みのV8ゼロデイ脆弱性を修正　2026年で6件目

Googleは、ChromeのJavaScript・WebAssemblyエンジン「V8」に存在する型混同脆弱性「CVE-2026-85046」を修正した。Googleは、この脆弱性を利用するエクスプロイトが実際の環境に存在すると確認している。

細工されたHTMLページを介して、Chromeのサンドボックス内で任意のコードを実行される可能性がある。Chromeの利用者は修正版へ更新し、アップデートを有効にするためブラウザを再起動する必要がある。Chromiumを基盤とするほかのブラウザについても、各ベンダーが提供する更新を確認することが重要だ。

■悪用が確認されたV8の型混同脆弱性

CVE-2026-85046は、ChromeがWebページ上のJavaScriptやWebAssemblyを処理するV8に存在する型混同脆弱性で、重要度は4段階中2番目の「High」と評価されている。

Googleは2026年9月3日、デスクトップ版Chromeの安定版を、WindowsおよびmacOS向けの152.0.7977.82/.83、Linux向けの152.0.7977.82へ更新した。このリリースにはCVE-2026-85046を含む12件のセキュリティ修正が含まれており、更新は数日から数週間をかけて段階的に展開される。

CVE記録によると、152.0.7977.82より前のChromeでは、攻撃者が細工したHTMLページを通じて、サンドボックス内で任意のコードを実行できる可能性がある。Googleは具体的な攻撃手法、標的、被害の規模、攻撃者について公表していない。

米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は9月4日、この脆弱性を「既知の悪用された脆弱性カタログ」に追加した。米連邦民間行政機関に設定された対応期限は9月18日である。CISAはほかの組織にも、KEVカタログを脆弱性管理の優先順位付けに活用するよう促している。

CVE-2026-85046は、Googleが2026年に修正した、悪用確認済みのChromeゼロデイ脆弱性として6件目となる。これまでにCVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、CVE-2026-11645が修正されている。このうちCVE-2026-3910、CVE-2026-11645、今回のCVE-2026-85046はV8に存在する脆弱性だった。

■Maglevの配列最適化で生じた型混同

CVE-2026-85046をGoogleへ報告したセキュリティ研究者のSalvatore Guliziaは、この問題がV8のコンパイラによる配列処理の最適化に関係すると説明している。

V8はJavaScriptを高速に実行するため、配列に格納されている値の種類を観測し、その情報に基づいて専用の処理を生成する。たとえば、小さな整数だけを格納する配列と、オブジェクトを格納する配列では、内部的に異なる要素種別が使用される。

今回の問題は、中位層の最適化JITコンパイラ「Maglev」において、Array.prototype.sortの呼び出しを高速な処理へ置き換えるコードに存在した。複数の要素種別を処理した呼び出し箇所で最適化が行われると、並べ替えの途中で配列の要素種別が変化しても、その変化を十分に確認しないまま処理を続ける場合があった。

攻撃用に細工されたJavaScriptでは、sortに渡す比較関数の実行中に配列の内容を整数へ置き換えることで、オブジェクトを格納したメモリが整数用の配列として扱われる状態を作り出せた。Guliziaの技術解説によると、この型混同を利用してJavaScriptヒープ上のアドレスを取得し、任意の読み書きにつながる操作を構成できたという。

修正版では、呼び出し箇所が異なる要素種別で学習されている場合、MaglevがArray.prototype.sortをインライン化しないよう変更された。Guliziaは8月4日に脆弱性をGoogleへ報告し、1000ドルの報奨金を受け取った。

Guliziaは、この脆弱性を既知の別のサンドボックス脱出脆弱性と組み合わせた検証についても説明している。公開されているCVE記録がCVE-2026-85046単独で示している影響範囲は、Chromeのサンドボックス内での任意コード実行である。

■Chromium系ブラウザはベンダーごとの更新を確認

V8はChromiumの構成要素であり、Chrome以外のChromium系ブラウザでも利用されている。このため、Microsoft Edge、Brave、Opera、Vivaldiなどの利用者は、それぞれのブラウザが提供するセキュリティ更新を個別に確認する必要がある。

Chromium系ブラウザは、製品ごとにバージョン番号や更新時期が異なる。Chromeの修正版である152.0.7977.82という番号を、そのままEdgeやBraveなどの判定基準にはできない。複数のブラウザを利用している場合は、Chromeだけでなく各製品の更新画面や公式リリース情報を確認する必要がある。

Android向けには、デスクトップ版と同じセキュリティ修正を含むChrome 152.0.7977.82の展開も始まっている。Google Playで更新できるが、端末や地域によって提供時期が異なる場合がある。

■更新後はChromeの再起動が必要

デスクトップ版Chromeの利用者は、右上の3点メニューから「ヘルプ」「Google Chromeについて」の順に開くと、更新の確認を実行できる。更新がダウンロードされた後は「再起動」を選択し、ブラウザを開き直す。

更新ファイルがバックグラウンドでダウンロードされていても、Chromeを再起動するまでは、起動中の古いプロセスが使われ続ける。再起動後に「Google Chromeについて」をもう一度開き、WindowsおよびmacOSでは152.0.7977.82または152.0.7977.83以降、Linuxでは152.0.7977.82以降になっていることを確認する。

企業や組織の管理者は、管理対象端末に修正版を配布するだけでなく、ブラウザの再起動と稼働バージョンまで確認することが重要だ。利用者がブラウザを長期間終了しない環境では、更新データの配布が完了していても、古いバージョンが動作し続ける可能性がある。

仮想マシンのテンプレート、VDI環境、キオスク端末、テスト環境、CI/CDで使用するブラウザイメージについても確認が必要だ。古いイメージから環境を再作成すると、更新済みの端末が脆弱なバージョンへ戻る可能性があるため、稼働中の端末と基礎イメージの双方を更新する必要がある。

元記事: Chrome Patches Sixth Zero-Day of 2026 as V8 Compiler Exploit Hits Wild