Google、Chromeをアップデート、151件の脆弱性を修正-CVE-2026-9872（GPU）,CVE-2026-9873（Network）|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年06月01日更新日時: 2026年06月01日

2026年5月27日、Googleは単一のセキュリティアップデートでChrome 148の脆弱性　151件を一括修正しました。そのうち22件はCritical（深刻）評価で、最悪の場合リモートコード実行（RCE）やChromeサンドボックスの脱出につながります。1回のリリースでこれほどの件数が修正されるのは過去のChrome更新と比較しても異例であり、背景にはAIを活用した脆弱性発見技術の急速な進化があります。現時点で野放し悪用は確認されていませんが、パッチ公開後に攻撃コードが生成されるまでの時間は限られています。本記事では最高危険度のCVE-2026-9872（GPU）・CVE-2026-9873（Network）を中心に、攻撃シナリオと組織として取るべき対応を解説します。

サマリー

Googleは2026年5月27日、Chrome 148のセキュリティアップデートを公開。Critical 22件・High 123件・Medium 6件、計151件という異例の大規模リリース
最危険脆弱性はCVE-2026-9872（GPUにおける境界外書き込み）とCVE-2026-9873（Networkにおける解放済みメモリ参照）で、各43,000ドルのバグバウンティが支払われた
どちらもリモートコード実行（RCE）およびChrome外部へのサンドボックス脱出に繋がり得る、ブラウザ脆弱性の中でも最も深刻なカテゴリに属する
V8（JavaScriptエンジン）にも境界外書き込みおよび型混同（Type Confusion）が複数確認されており、攻撃チェーンの「起点」として悪用される危険性がある
ANGLEコンポーネントに35件が集中し、グラフィクス処理系が新たな主要攻撃面になりつつあることを示している
現時点で野放し悪用は未確認だが、パッチ公開後のリバースエンジニアリングによる武器化リスクがあるため、即時アップデートが必要

1 アップデートの概要—Critical 22件・High 123件、計151件という異例の規模
2 CVE-2026-9872・CVE-2026-9873——43,000ドルが示す最高危険度の攻撃シナリオ
3 V8・Skia・ANGLE——攻撃チェーンの起点となる残りのCritical脆弱性
4 High脆弱性123件の内訳——ANGLEへの35件集中とグラフィクス攻撃面の拡大
5 Use-After-Free脆弱性が44%を占める——なぜ攻撃者に好まれるのか
6 AIが脆弱性発見を加速させた背景—Googleがバグバウンティを引き下げた理由
7 情報システム担当者が取るべき対応
8 FAQ
9 参考情報

アップデートの概要—Critical 22件・High 123件、計151件という異例の規模

Googleは2026年5月27日（現地時間）、Chrome Stable Channel Update for Desktopを公開しました。今回の更新が適用されるバージョンは次のとおりです。

Windows：148.0.7778.216 / 217、macOS：148.0.7778.215 / 216、Linux：148.0.7778.215、Android：148.0.7778.215、iOS：149.0.7827.45。

1回のセキュリティアップデートで151件の脆弱性を修正するのは過去のChrome更新と比較しても異例の規模です。内訳はCritical（深刻）22件、High（高）123件、Medium（中）6件で、Critical＋Highだけで145件に達しています。この規模感は後述するAIを活用したファジング技術の普及と密接に関係しています。

Googleは現時点で「これらの脆弱性が野放しで悪用されているという報告はない」としていますが、パッチが公開された直後から攻撃者がその差分を解析して攻撃コードを生成するリバースエンジニアリングが始まることは過去にも繰り返されています。特に今回はCritical脆弱性のなかにRCEとサンドボックス脱出を直接引き起こし得るものが複数含まれており、対応を後回しにするリスクは高いといえます。

CVE-2026-9872・CVE-2026-9873——43,000ドルが示す最高危険度の攻撃シナリオ

公式セキュリティアドバイザリにおいて最高の報奨金（各43,000ドル）が支払われた2件は、いずれも同一の外部研究者（cinzinga）によって報告されており、今回のリリース全体の中で最も危険なものと位置付けられます。

CVE-2026-9872はGPU処理コードにおける「境界外書き込み（Out of Bounds Write）」です。悪意ある細工をしたWebページをユーザーが閲覧すると、ChromeのGPUプロセスが正規のバッファ領域を超えた位置にデータを書き込んでしまいます。GPUプロセスはブラウザのレンダラープロセスとは分離されているものの、ホストOSのGPUドライバーに近い層で動作するため、ここでコード実行が成立するとホストシステム全体への侵害につながるリスクがあります。Out of Bounds Writeはメモリ上の隣接するコントロール構造を上書きできるため、攻撃者による任意コード実行（RCE）に特に悪用されやすいクラスの脆弱性です。

CVE-2026-9873はNetworkコンポーネントにおける「Use-After-Free（UAF）」です。Chromeのネットワークスタックが特定のタイミングで解放済みのメモリ領域を参照してしまう欠陥で、攻撃者が細工したネットワークリクエストを処理させることでこの状態を引き起こせます。Chromeではネットワーク処理をメインプロセスまたは専用のネットワークサービスプロセスで行いますが、このプロセスはレンダラープロセスのサンドボックスより権限が高いケースがあります。ここでのRCEはサンドボックスを経由せずにホストシステムを侵害できる可能性があり、深刻度が特に高いとされています。

この2件と同様にCritical評価を受けた外部報告CVEとして、DawnにおけるUAF（CVE-2026-9874、11,000ドル）、WebGLにおける境界外読み取り（CVE-2026-9875、5,000ドル）、WebGLにおけるUAF（CVE-2026-9876）も存在します。Dawnは ChromeのWebGPU実装であり、WebGPU APIを通じてGPUに直接アクセスできる性質上、ここでの脆弱性はWebGLよりもさらに広い特権領域に接触し得ます。

V8・Skia・ANGLE——攻撃チェーンの起点となる残りのCritical脆弱性

Googleの社内チームが報告したCritical脆弱性17件（CVE-2026-9877〜CVE-2026-9893）の中で、情報システム担当者が特に注意すべきコンポーネントがあります。

Skiaは Chromeのビットマップおよびベクター描画を担う2Dグラフィクスライブラリで、今回Critical 2件（CVE-2026-9892「Inappropriate implementation」、CVE-2026-9893「Use after free」）が確認されています。Skiaは Webページ上のすべての描画処理に関与するため、悪意あるSVGやCanvas APIを通じて比較的容易にトリガーできる可能性があります。

ExtensionsにおけるUAF（CVE-2026-9891）も注視すべき脆弱性です。Chromeの拡張機能ホストは特定の権限を持ち、ユーザーデータやブラウザ設定への広いアクセスが可能です。拡張機能インターフェース経由での悪用が現実的な脅威となります。

また、High評価ではありますが、V8エンジンにおける境界外書き込み（CVE-2026-9896、CVE-2026-9973）および型混同（Type Confusion）を含む複数のバグが報告されています。V8はすべてのWebページで実行されるJavaScriptを処理するエンジンであり、V8の脆弱性はレンダラーサンドボックス内でのコード実行を可能にします。サンドボックス内RCEは単独では被害が限定されますが、CVE-2026-9872のようなGPUプロセスへのサンドボックス脱出バグと組み合わされると、完全な攻撃チェーン（V8でRCE → GPUプロセスでサンドボックス脱出 → OS侵害）が成立します。なお、CVE-2026-9973はOpenAI所属の研究者（amyb）が報告しており、AI企業のセキュリティ研究者がブラウザの重大バグ発見に貢献するという構図は今日のセキュリティ研究の変化を象徴しています。

High脆弱性123件の内訳——ANGLEへの35件集中とグラフィクス攻撃面の拡大

High（高）評価の脆弱性は123件と今回の総数の約82%を占めています。コンポーネント別で最も顕著なのがANGLEへの集中で、Critical・High合わせて35件に達しています。ANGLE（Almost Native Graphics Layer Engine）はChromeがOpenGL ESをDirectX、Metal等のOS固有グラフィクスAPIに変換する互換レイヤーです。WebGLやWebGPUの普及に加えてブラウザ上でのAI推論処理の増加がANGLEの実装規模を拡大させており、グラフィクス処理系のコードが新たな主要攻撃面として浮上していることを今回の件数が裏付けています。

外部研究者報告のなかでは、High評価のCVE-2026-9894（GPUにおけるUAF）に25,000ドルが支払われました。CVE-2026-9928（ANGLEにおける境界外読み取り）はMozillaの研究者（Jeff Muizelaar）が報告しており、競合ブラウザのセキュリティ研究者がChrome の脆弱性を報告するというクロスベンダー協調の好例です。

Use-After-Free脆弱性が44%を占める——なぜ攻撃者に好まれるのか

今回修正された151件のうち66件（約44%）がUse-After-Free（UAF）脆弱性です。UAFはソフトウェアが一度解放したメモリ領域を引き続き参照・使用してしまうメモリ安全性の問題で、Chromeのようなマルチプロセス・マルチスレッドアプリケーションで発生しやすい欠陥です。

攻撃者がUAFを悪用する典型的な流れは次のとおりです。まず悪意ある入力でターゲットのメモリ領域を解放させ、次にその解放済み領域に攻撃者が制御するデータを配置し、最後にブラウザが解放済みメモリを再参照したタイミングで制御データが実行されます。この結果、任意コード実行やサンドボックス脱出に繋がります。UAFがChrome以外でも広く悪用されていることは国内外のサイバー攻撃事例まとめでも確認できます。今回66件という大量のUAFが一度に修正された背景として、次節で述べるAIを活用したファジング技術の普及があります。

AIが脆弱性発見を加速させた背景—Googleがバグバウンティを引き下げた理由

151件のうち大多数が「Reported by Google」と記されており、Googleの社内セキュリティチームが発見したものです。これはランダムな入力を大量生成してクラッシュを誘発する「ファジング（Fuzzing）」にAIを組み合わせるようになったことで、脆弱性発見の速度と量が大幅に増加したためとみられています。

この件数急増を背景に、Googleは今回の更新より前の月にChrome脆弱性のバグバウンティ額を引き下げました。AIが既存のセキュリティ手法の生産性を急激に高める一方で、外部研究者への経済的インセンティブとのバランス調整が生じているという、2026年のセキュリティ業界を象徴する動きです。

情報システム担当者が取るべき対応

Googleは更新を自動ロールアウトで配信していますが、Critical 22件という規模の場合は手動確認が確実です。Chromeのアドレスバーに chrome://settings/help と入力するか、メニュー（三点リーダー）→「ヘルプ」→「Google Chromeについて」に進み、最新バージョンへの適用を確認してください。更新後はブラウザの再起動が必要です。

組織として確認すべきポイントは3点あります。第1に、エンドポイント管理ツール（SCCM、Intune等）でChromeのバージョン配信ポリシーを設定している場合は、Windows：148.0.7778.216以上への展開を確認してください。自動更新を無効化している端末は手動対応が必要です。第2に、BYOD端末を含む管理対象外デバイスについても、社内通知でユーザーへの更新周知を実施してください。「GPUとネットワーク処理にRCEリスクのある重大脆弱性が確認された」という事実は、エンドユーザーへの説明根拠として十分な重みを持ちます。第3に、WebGLやWebGPUを利用する社内Webアプリケーションがある場合は、ANGLEおよびDawnに集中した脆弱性を踏まえて、グラフィクス処理の動作確認を実施することを推奨します。

また、Microsoft Edge・Brave・Vivaldi等のChromiumベースブラウザも今後類似パッチが配信される予定ですので、これらも更新対象として管理してください。

FAQ

Q. CVE-2026-9872やCVE-2026-9873は具体的にどんな操作で攻撃されますか？ A. どちらも悪意あるWebページを閲覧させることでトリガーできると考えられます。ユーザーが特別な操作をしなくても、ページのロード時にGPUやネットワーク処理が走ることで脆弱なコードパスに達する可能性があります。これを「ドライブバイ攻撃」と呼び、フィッシングメールのURLクリックや、正規サイトに挿入された悪意ある広告（マルバタイジング）でも発生します。

Q. Criticalの22件は今すぐ悪用されているのでしょうか？ A. Googleは「現時点で野放し悪用（In-the-Wild exploitation）の報告はない」としています。ただし、パッチが公開されると攻撃者がパッチ差分を解析して攻撃コードを作成するリバースエンジニアリングが始まるケースがあります。パッチ未適用状態が長引くほどリスクは高まります。

Q. Chromeが最新バージョンかどうかをどこで確認できますか？ A. chrome://settings/help に進むと現在のバージョンと更新状況が表示されます。最新ビルドが適用されていれば「Google Chrome は最新バージョンです」と表示されます。Windows環境では148.0.7778.216以上であることを確認してください。

Q. V8の脆弱性はブラウザのどんな操作で発現しますか？ A. V8はJavaScriptを実行するエンジンのため、悪意あるJavaScriptコードを含むWebページを表示するだけでトリガーされます。JavaScriptを無効にすれば理論上は防げますが、現代のWebサービスのほぼすべてがJavaScriptに依存しているため、現実的な回避策ではありません。ブラウザのアップデートが唯一の確実な対策です。

Q. ANGLEの脆弱性が35件もあるのはなぜですか？ A. ANGLEはOpenGL ESをDirectXやMetal等に変換する複雑な変換レイヤーです。WebGLやWebGPUの普及に加えブラウザでのAI推論処理の増加でコード規模が拡大しており、メモリ管理の複雑さが脆弱性を生みやすい環境になっています。AIファジングの適用でこれまで見逃されていた欠陥が一気に可視化された可能性があります。