要点
- Chrome や Edge の土台である Chromium の欠陥 CVE-2026-125350 が、実際の攻撃に使われていると確認された。
- 米 CISA は 2026 年 11 月 10 日、この欠陥を「悪用が確認された欠陥のリスト（KEV）」に加えた。
- Chrome は修正版が出ている。Edge は Microsoft が修正を準備中と告知している段階だ。
何が起きたか
CVE-2026-125350 は、Chromium の XML（データを表す形式）を扱う部分にある use-after-free だ。使い終えたメモリを誤ってまた使ってしまう欠陥で、悪用されると、ブラウザの中で攻撃者の指示が動く恐れがある。
CISA は 11 月 10 日（米国時間）に、これを KEV に追加した。米国の連邦機関には 11 月 24 日までの対応期限が付いている。KEV に載るのは、悪用が確認された欠陥だけだ。
報道によると、Google は 11 月 9 日（月）に Chrome の更新を出し、この欠陥について「悪用する exploit（攻撃の道具）が出回っている」と伝えた。9 件の欠陥を直す更新で、この欠陥は匿名の研究者から 11 月 6 日に報告されたという（SecurityWeek の報道。Google の公式告知は、この記事では直接確認できていない）。誰が、誰を狙って使ったかは公表されていない。
直った版
SecurityWeek によると、修正は Chrome 157 の更新版に入っている。版の番号は 157.0.8103.50 以降だ。同じ 157 でも、これより古い版は修正前の可能性がある。「157 を使っている」だけで安心せず、版の番号まで確かめたい。
日本の利用者への影響
この欠陥は、Chromium を使う複数のブラウザに影響しうるとされる。資料には Google Chrome、Microsoft Edge、Opera などが挙がっている。日本の組織や利用者への被害については、今回確かめた資料に情報がない。
Edge については、Microsoft のリリースノートが 11 月 9 日付で「悪用が出回っていることを把握し、修正を準備中」と書いている。この記載は CVE 番号を挙げていない。そのため、Edge がこの欠陥の影響を受けるかは、Microsoft の正式な発表を待つ必要がある。ただ、Edge は同じ Chromium で作られており、備えておくのが安全だ。
今すぐやること
- Chrome を開いて「Google Chrome について」の画面で更新を確かめ、157.0.8103.50 以降にする。
- Edge も「Microsoft Edge について」の画面で更新を確かめる。11 月 10 日の時点で見つかった最新の安定版は 157.0.4341.42（11 月 5 日）で、今回の修正が入っているかは未確認だ。新しい版が出たら、すぐ上げる。
- 会社で端末を管理している人は、Chrome と Edge の版を一覧で確かめ、古いまま使っている端末がないかを見る。自動更新を止めている環境は、特に急ぐ。
- 知らないサイトのリンクやメールのリンクは、更新が済むまで開かない。
背景
Chrome の悪用された欠陥（ゼロデイ）は、報道によると 2026 年だけで今回が 8 件目だ。ブラウザは、誰もが毎日使い、外から来るデータを大量に読む。そのため攻撃者が好んで狙う。
Chromium は Chrome、Edge、そのほか多くのブラウザの共通の土台だ。土台に欠陥があると、どの製品にも同じ穴が及ぶ。そのため、各社の修正の時期がずれると、更新の遅いほうが長く狙われる。
技術者向けの詳細
- 欠陥: CVE-2026-125350。Chromium の XML 部分の use-after-free。
- KEV: 追加日 2026-11-10、対応期限 2026-11-24（CISA の KEV カタログ）。
- 修正版（報道による。Google の公式告知は未確認）: Chrome 157.0.8103.50/.51（Windows・Mac）、157.0.8103.50（Linux）。
- SecurityWeek によると、同じ更新は、この欠陥のほかに WebGL、FileSystem、Compositing、GPU、V8、XML の high の欠陥 6 件も直す。
- Edge: Stable 157.0.4341.42（2026-11-05）。11 月 9 日の告知は悪用に触れるが、CVE は未記載。
- 情報が更新されたら、Google の Chrome Releases と Microsoft の Edge セキュリティ更新ガイドで、修正版を確かめる。
