グーグルのChromeに「悪用コード」出回るゼロデイ　9件修正の更新版、今すぐ更新を

　グーグルは2026年11月9日（米国時間）、公式ブログで、Webブラウザー「Chrome」のデスクトップ版について、安定（Stable）チャンネルをバージョン157.0.8103.50/.51（WindowsとMac）、157.0.8103.50（Linux）に更新したと発表した。更新版は、今後数日から数週間かけて順次ロールアウトされる。

　今回の更新では、計9件のセキュリティ上の問題を修正した。

　このうち「CVE-2026-125350」は、XML処理における「use after free」（解放済みのメモリーを使い続けてしまう不具合）の脆弱性。深刻度は「High」で、匿名の報告者が2026年11月6日に報告し、3日後の9日に修正版が公開された。グーグルは「CVE-2026-125350の悪用コードが実際に出回っていることを把握している」と説明している。攻撃の具体的な状況は示されていない。

　また、バグの詳細情報へのアクセスは、多くの利用者に修正版が行き渡るまで制限される場合があると注記している。

　残る8件のうち、深刻度が「High」のものは6件。内訳は次のとおり。

　・CVE-2026-125346：XMLのuse after free
・CVE-2026-125344：JavaScriptエンジン「V8」の型confusion（型の取り違え）
・CVE-2026-125343：Compositingのバッファオーバーフロー
・CVE-2026-125348：GPUの境界外書き込み
・CVE-2026-125347：FileSystemの不適切な認可
・CVE-2026-125345：WebGLの初期化されていないリソース

　深刻度が「Medium」の2件（CVE-2026-125349、CVE-2026-125342）は、いずれもGPUの初期化されていないリソースだった。悪用コードの存在に言及したのは、CVE-2026-125350のみ。

　先に公開されたChrome 157の初版は、213件の脆弱性を修正していた。今回の更新版は、これに続くものだ。