Firefoxの脆弱性実証コードが公開、ChromeやAdobe、VMwareも緊急パッチを一斉リリース

FirefoxやGoogle Chrome、Adobe、VMwareなどの主要ソフトウェアで、重大な脆弱性に対処する緊急セキュリティパッチが2026年7月15日に一斉に公開された。特にFirefoxについては、現時点で実際の攻撃は確認されていないものの、2件の深刻な脆弱性に対する実証コード（エクスプロイトコード）がすでに一般公開されていることが確認されている。ユーザーやシステム管理者は、自動更新を待つことなく、ブラウザの再起動や手動アップデート、パッチの適用を直ちに行うことが推奨される。

■Firefoxの実証コードが公開、主要ベンダーが緊急パッチを一斉リリース

世界で最も広く使われている2つのブラウザが、2026年7月15日に緊急セキュリティパッチを公開した。そのうちの1つであるMozillaのFirefoxについては、パッチ未適用のユーザーに対して、自動更新を待たずに今すぐ行動を起こすよう促す警告が出されている。Mozillaは、Firefoxの新たな2件の深刻な脆弱性に対する実証コード（エクスプロイトコード）がすでに一般公開されていることを確認した。ただし、公開時点でこれらのコードを悪用した実際の攻撃は確認されていないという。Mozillaはアドバイザリ（MFSA 2026-67）において、「この脆弱性の実証コードが公開されていることは把握しているが、実際に悪用された攻撃は確認していない」と述べている。

同日には、Google、Adobe、Broadcom（VMware）からも緊急の修正パッチが公開された。これらは、ChromeのOzoneディスプレイレイヤー、Adobe ColdFusion、およびVMwareのAvi Load Balancerにおける深刻な脆弱性に対処するものである。The Hacker Newsの報道によると、これら4社が公開した脆弱性はいずれも、公開時点で実際の攻撃への悪用は確認されていない。

個人ユーザーが取るべき対応は明確である。Firefoxを再起動してバージョン152.0.6へのアップデートを実行し、Chromeについては設定メニューの「Google Chromeについて」から手動で強制的にアップデートを行うことだ。自動更新が順次適用されるのを待つべきではない。また、Adobe ColdFusionやVMware Avi Load Balancerを運用する企業のシステム管理者は、実際の悪用が確認されていないとしても、これらを緊急性の高いものとして扱う必要がある。いずれの脆弱性も、最大級 of 深刻度を示す9.0以上のCVSSスコアを記録しているためだ。

■Firefox：2件の深刻な脆弱性と実証コードの危険性

Mozillaが緊急リリースしたFirefox 152.0.6では、「CVE-2026-15718」と「CVE-2026-15719」の2つの脆弱性が修正された。Mozillaの開示声明は、ユーザーに対する影響について異例なほど率直であり、実際の攻撃は確認されていないとしつつも、両方の脆弱性に対する実証コードが公開されていることを認めている。

CVE-2026-15718は、FirefoxのJavaScript/WebAssemblyコンポーネントにおける無効なポインタのバグである。もう1つのCVE-2026-15719は、DOMナビゲーションコンポーネントにおけるサイト分離（Site Isolation）の脆弱性であり、一般的な深刻度評価以上に注意を払う必要がある。SecurityWeekは、両方のCVEに対する実証コードがすでに公開されていることから、今回のリリースには異例の開示メモが添えられていると指摘している。

Firefoxは「Fission」と呼ばれるアーキテクチャを採用しており、Firefox 95以降デフォルトで有効になっている。これは、各ウェブサイトのコンテンツをオペレーティングシステム（OS）の独立したプロセスに配置する仕組みである。このアーキテクチャの前提は、あるサイトのレンダラーが侵害されたとしても、同時に別のタブで開いている別のサイトのレンダラーからデータを読み取ることはできないという点にある。しかし、CVE-2026-15719は、DOMナビゲーションレイヤーにおけるこの境界の強制力に関する欠陥である。つまり、特定の条件下において、あるプロセスのコンテンツが別のプロセスのコンテキスト内のコンテンツにアクセスしたり、相互作用したりする可能性がある。これは単なるメモリ安全性のバグではなく、セッションクッキーやフォームデータ、ページ内容が侵害されたタブに漏洩するのを防ぐ「クロスオリジン分離」の保証を構造的に破るものである。このパッチを分析したセキュリティアナリストらは、このサイト分離の欠陥について、日常的な修正の域を超えていると評価している。

両方の脆弱性に対する実証コードが公開されたことで、対応の緊急度は大幅に高まっている。実証コードが公開されると、「悪用の事実なし」から「実際の攻撃への悪用」に移行するまでの期間は、通常、数週間から数日へと一気に短縮される。個人用や業務用のPCでFirefoxを常に起動したままにしているユーザーは、ブラウザを再起動するまでアップデートが適用されない。修正はFirefox 152.0.6に含まれており、ほとんどの環境ではブラウザを再起動するだけでアップデートが完了する。

■ChromeのOzoneレイヤーにおける「Use-After-Free」脆弱性

Googleが同時に公開したChromeのアップデート（Linux向けバージョン150.0.7871.124、Windows/macOS向けバージョン150.0.7871.125）では、計15件のセキュリティ脆弱性が修正された。この中には、Ozoneにおける2件の深刻な「Use-After-Free（解放後メモリ使用）」の脆弱性（CVE-2026-15764およびCVE-2026-15765）が含まれている。CybersecurityNewsは脆弱性の一覧を確認し、これらOzoneの2つの欠陥が、同時に修正された12件の高深刻度の問題よりも上位の「緊急（Critical）」に分類されていることを確認した。

これらのバグがなぜ緊急と評価されているかを理解するには、ChromeのアーキテクチャにおけるOzoneの位置づけを知る必要がある。OzoneはChromeのクロスプラットフォーム抽象化レイヤーであり、ブラウザが基盤となるOSのウィンドウ表示システムやディスプレイシステムと通信するためのコードである。Linux上のX11、Wayland、DRM/KMS、ChromeOSのディスプレイスタック、Fuchsiaのグラフィックスサブシステムなどを処理する。The Hacker Newsは、これが「ブラウザがさまざまなディスプレイサーバーやウィンドウシステムとネイティブに相互作用できるようにするクロスプラットフォーム抽象化レイヤー」であると説明している。これは単なるブラウザ内部のコンポーネントではなく、ChromeとホストOSのインターフェース部分に位置している。

Use-After-Free脆弱性は、プログラムがメモリを解放してアロケータに返却した後に、そのヒープメモリ領域に引き続きアクセスすることで発生する。米国標準技術研究所（NIST）の脆弱性データベース（NVD）におけるCVE-2026-15764のエントリによると、この脆弱性はバージョン150.0.7871.125より前のLinux版Google ChromeのOzoneにおけるUse-After-Freeの欠陥であり、リモートの攻撃者がユーザーに特定のUI操作を行うよう仕向けることで、細工されたHTMLページを介してヒープ破損を悪用する可能性があると説明されている。解放されたブロックが再確保され、その内容が別の操作によって部分的に書き換えられた場合、元の古いポインタが参照されると、プログラムは攻撃者の影響を受けたデータを読み書きすることになる。ブラウザの文脈では、巧妙に作成されたHTMLページによってDOMオブジェクトの生成と破棄のタイミングを操作し、この状態を意図的に引き起こすことができる。

NVDのエントリは、具体的な攻撃対象領域についても確認している。リモートの攻撃者がユーザーに特定のUI操作を行うよう仕向けることで、細工されたHTMLページを通じてヒープ破損を悪用できる可能性があるという。この欠陥はChrome独自のサンドボックス内ではなく、OSの信頼境界にあるOzoneに存在するため、一般的なレンダラーレベルのUse-After-Freeよりも、サンドボックス回避（エスケープ）に直接つながりやすい。

GoogleはこれらOzoneの脆弱性2件を「緊急」と評価し、大半のユーザーがアップデートをインストールするまで詳細な技術情報の開示を控えている。これは、武器化（攻撃コードの開発）を遅らせるための標準的な慣行である。CybersecurityNewsの報道によると、Googleは大多数 of Chromeユーザーが必要な修正を適用するまで、バグ情報の制限を維持する方針だという。このアップデートは段階的に展開されており、すべてのデスクトップデバイスに自動で届くまで数日かかる場合がある。

今回のChromeリリースにおける残りの13件の脆弱性には、ChromeのJavaScriptおよびWebAssemblyエンジンである「V8」における3件の高深刻度の修正のほか、Skia（グラフィックス描画）、libyuv（画像/動画フォーマット変換）、Linux Toolkit Theming、Media、GPU、Core、UIコンポーネントの欠陥が含まれている。SecurityWeekは、これが7月8日のアップデート（これ自体も2件のOzoneのUse-After-Free脆弱性を含む27件の脆弱性に対処したもの）に続く、新たなリリースであることを確認している。

■段階的展開の意味と手動更新の重要性

Chromeは、独自の「Omaha」アップデーターインフラを通じて、段階的なスケジュールでアップデートを配信している。最初に全ユーザーの一部にビルドを配信し、Googleがクラッシュのテレメトリ（測定データ）を監視した上で、全ユーザーに対象を拡大する。このため、Chromeを常に起動したままにしている場合、アップデートがリリースされた後も、数日間にわたってセキュリティ修正が適用されない可能性がある。

Chromeは世界のデスクトップブラウザ市場の約71%のシェアを占めている。そのため、緊急パッチの段階的な展開であっても、数億台の脆弱な環境が保護されないまま放置される大きな空白期間が生じることになる。ブラウザの右上にある3点リーダーメニューから「ヘルプ」→「Google Chromeについて」を開くことで、手動で即座にアップデートの確認とダウンロードを実行し、段階的展開をバイパスして更新を適用できる。

■Adobe ColdFusionとVMware Avi Load Balancerの重大な脆弱性

Adobeが7月15日に公開したパッチリリースは、複数の製品にわたる88件の脆弱性を対象としている。その中で最も緊急性が高いのがAdobe ColdFusionであり、8件の深刻な脆弱性に対してCVSSスコア9.0から9.9が割り当てられている。

ColdFusionの深刻な脆弱性の内訳は以下の通りである。任意のコード実行（RCE）を可能にするパス移動（パストラバーサル）の脆弱性（CVE-2026-48318、CVSS 9.9）、同じくRCEを可能にするコードインジェクションの脆弱性（CVE-2026-48322、CVSS 9.6）、RCEを可能にする不適切な入力検証の問題（CVE-2026-48284、CVSS 9.6）、権限昇格を可能にする不適切な認可の欠陥（CVE-2026-48321、CVSS 9.3）、RCEを可能にする認証の欠如の脆弱性（CVE-2026-48325、CVSS 9.3）、2つ目のパストラバーサル（CVE-2026-48319、CVSS 9.1）、RCEを可能にするSQLインジェクションの脆弱性（CVE-2026-48324、CVSS 9.1）、そしてRCEを可能にする不適切な認可の欠陥（CVE-2026-48327、CVSS 9.0）である。これら8件の詳細は、The Hacker Newsによる7月15日のパッチに関する報道で詳述されている。これらの欠陥は、「ColdFusion 2025 Update 11」および「ColdFusion 2023 Update 22」で修正された。

Adobeはまた、Adobe Commerce（旧Magento）/Magento Open SourceおよびAdobe Experience Managerにおけるそれぞれ2件の深刻な脆弱性に対処した。Commerceについては、権限昇格につながるファイルアップロードの脆弱性（CVE-2026-48356、CVSS 9.6）と、RCEを可能にするエンコーディング/出力エスケープの問題（CVE-2026-48358、CVSS 9.1）が修正された。Experience Managerについては、サーバー側リクエストフォージェリ（SSRF）の脆弱性（CVE-2026-48259、CVSS 9.6）と、XML外部実体参照（XXE）インジェクションの問題（CVE-2026-48359、CVSS 9.6）が修正され、いずれも任意のコード実行につながる恐れがある。

一方、Broadcomは、VMwareのAvi Load Balancerにおける最大級の深刻度を持つ認証バイパスの脆弱性（CVE-2026-47865、CVSS 9.8）を修正した。ネットワークアクセスを持つ悪意のあるユーザーが、有効な資格情報なしでAviコントロールプレーンに直接アクセスできる可能性がある。

この脆弱性を発見・報告したのは、北大西洋条約機構（NATO）サイバーセキュリティセンターのFilip Waeytens氏である。この事実は、企業や政府機関のインフラのセキュリティ評価の文脈で脆弱性が特定されたことを示している。CVSS 9.8というスコアは、ユーザーの関与を必要とせず、ネットワーク経由でアクセス可能な脆弱性のカテゴリに分類される。これは、ネットワークの境界に位置し、外部からのトラフィックを処理することが多いロードバランサーにおいて、最も危険な部類の認証バイパスである。管理者は、Broadcomのセキュリティアドバイザリに従って修正を適用し、パッチの展開が進む間、Aviコントロールプレーンへの管理アクセスを信頼できるネットワークセグメントのみに制限する必要がある。

■Zoomの修正と、同日パッチラッシュの背景

今回のパッチラッシュを締めくくるものとして、ZoomはWindows向けZoom Workplaceにおける深刻な不適切な入力検証の脆弱性（CVE-2026-53412）に対する修正をリリースした。Malwarebytesの報道によると、この問題はZoomセキュリティ速報「ZSB-26014」に記載されている。WindowsでZoomを実行しているユーザーは、修正済みのリリースにアップデートする必要がある。また、集中パッケージ管理を通じてZoomを展開している企業環境では、個々のワークステーションだけでなく、展開パッケージ自体も更新する必要がある。

これらのリリースがMicrosoftの7月8日の「パッチチューズデー（Patch Tuesday）」前後に集中しているのは偶然ではない。ブラウザベンダー、企業向けソフトウェアメーカー、インフラプロバイダーは、毎月のパッチチューズデーのサイクルに合わせて開示のタイミングを調整している。ITおよびセキュリティチームはすでに警戒態勢に入っており、リリースを同期させることで、絶え間なく発生する緊急事態にその都度対応するのではなく、1つの調整された期間内に修正を評価・展開できるようになる。

大規模な環境を管理するセキュリティチームにとって、7月15日はブラウザ、アプリケーションサーバー、ネットワークインフラの各カテゴリにわたる緊急の作業が同時に発生したことを意味する。ベンダーの速報を追跡するパッチ管理システムは、これら4社のリリースすべてにフラグを立てているはずである。Firefox 152.0.6、Chrome 150.0.7871.124/.125、ColdFusionのアップデート、およびVMware Aviのパッチをまだ適用していない環境では、2件の深刻なCVEに対する実証コードの公開が確認されているFirefoxの対応を最優先すべきである。

この記事の公開時点で、これら4社の脆弱性はいずれも、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）の「悪用が確認されている脆弱性（KEV）」カタログには登録されていなかった。しかし、同じ7月のサイクルで公開されたChrome V8の境界外読み書きの脆弱性（CVE-2026-11645）は、悪用が確認された後、BOD 26-04に基づきCISAのKEVカタログに追加された。この前例は、実証コードが流通し始めた際に、状況がいかに急速に変化するかを示している。

■今すぐアップデートする方法

Chromeの場合：右上にある3点リーダーメニューを開き、「ヘルプ」→「Google Chromeについて」に移動すると、ブラウザが即座に最新バージョンを確認してインストールする。アップデートを完了するにはブラウザの再起動が必要である。再起動後、インストールされたバージョンが「150.0.7871.124」または「150.0.7871.125」になっていることを確認する。

Firefoxの場合：ほとんどのユーザーはブラウザを再起動するだけで十分である。Firefoxはバックグラウンドでアップデートをダウンロードし、再起動時に適用する。対象となるバージョンは「152.0.6」である。再起動後に「新機能」タブが表示されれば、アップデートは完了している。

ColdFusion、VMware、Zoomの場合：管理者は、本番環境やインターネットに公開されているシステムに対して、各ベンダーのパッチを直ちに適用する必要がある。ColdFusionの対象は「ColdFusion 2025 Update 11」および「ColdFusion 2023 Update 22」である。VMware Aviの修正手順は、Broadcom Security Advisory 37926に記載されている。Windows向けZoom Workplaceのユーザーは、Zoomセキュリティ速報「ZSB-26014」に記載されている修正済みリリースにアップデートする必要がある。

■注目ポイントQ&A

●まだアップデートしていない場合、今Firefoxを使用するのは安全ですか？

Firefox 152.0.6をインストールするまでは、実証コードが公開されている2件の深刻な脆弱性に対して無防備な状態になります。Mozillaは実際の攻撃をまだ確認していませんが、実証コードの公開から実際の悪用が始まるまでの期間は非常に短いのが一般的です。Firefoxはバックグラウンドでアップデートをダウンロードするため、ブラウザを一度閉じて再起動するだけで、すぐに適用を完了できます。

●「Use-After-Free」脆弱性とは何ですか？また、なぜChromeのOzoneレイヤーで発生すると特に危険なのですか？

Use-After-Free（解放後メモリ使用）とは、プログラムがメモリを解放してシステムに返却した後に、そのメモリ領域にアクセスしてしまう脆弱性です。解放されたメモリが別の処理で再利用されて書き換えられていた場合、古いポインタを参照することで、攻撃者が意図したデータを読み書きさせられる危険性があります。Ozoneは、ChromeとOSのウィンドウ・ディスプレイシステム（LinuxのX11やWayland、ChromeOSのディスプレイスタックなど）を仲介する抽象化レイヤーです。ここに脆弱性があると、ブラウザ内部のバグよりもOSの信頼境界に近いため、Chromeのサンドボックスを回避して、基盤となるシステム上でコードを実行されるリスクがより直接的に高まります。

●Firefoxのサイト分離の脆弱性（CVE-2026-15719）は、なぜ一般的なブラウザのバグよりも重大なのですか？

Firefoxは「Fission」というアーキテクチャを採用しており、各ウェブサイトをOSの独立したプロセスに配置することで、あるタブが侵害されても別のタブのデータを読み取れないようにしています。しかし、CVE-2026-15719はこのプロセス間の境界を破るDOMナビゲーションの欠陥です。これにより、侵害されたレンダラーが別のタブのプロセス内のコンテンツにアクセスできる可能性があります。これは単なるメモリのバグではなく、オンラインバンキングのセッションなどを悪意あるページから保護するための「分離構造」そのものを無効化してしまうため、非常に重大です。

●実際の悪用が確認されていない場合でも、管理者はVMware Avi Load Balancerのパッチ適用を急ぐべきですか？

はい、急ぐべきです。CVSSスコア9.8の認証バイパス脆弱性は、ユーザーの操作を必要とせず、ネットワークアクセスのみで悪用が可能です。管理プレーンにアクセスできる攻撃者にとって、極めて容易に悪用できる危険なカテゴリに属します。ロードバランサーはネットワークの境界に設置されることが多いため、標的になりやすいのが特徴です。「悪用が確認されていない」というのは、現時点で公に確認されていないだけであり、すでに悪用されている可能性も否定できません。パッチを直ちに適用し、適用が完了するまでは管理アクセスを信頼できるネットワークのみに制限することが推奨されます。

元記事: Firefox Exploit Code Goes Public as Chrome, Adobe, VMware Ship Emergency Patches