Google Chrome、Critical 1件を含む7件の脆弱性を修正　CVE-2026-76017はサンドボックス外でのコード実行につながる恐れ

Googleは2026年8月20日、デスクトップ向けGoogle ChromeのStable Channel Updateを公開し、7件の脆弱性を修正を実施しました。

更新後のバージョンは、WindowsおよびmacOSが151.0.7922.173/.174、Linuxが151.0.7922.173です。Googleは今後数日から数週間かけて順次ロールアウトするとしています。

今回修正された7件のうち、最も深刻なのはChromotingに存在するUse-after-freeの脆弱性「CVE-2026-76017」です。GoogleはChromium Security SeverityをCriticalと評価しています。

NVDに登録されたChromeのCVE情報によると、CVE-2026-76017は151.0.7922.173より前のChromeに影響し、細工されたネットワークトラフィックを介して、リモートの攻撃者がChromeのサンドボックス外で任意コードを実行できる可能性があります。

このほか、Importの権限昇格、Workersの認可不備、V8のRace Condition、DOMのUse-after-free、NetworkのBuffer Overflow、Linux Toolkit Themingのリソース制御不備が修正されています。

Googleは今回のリリースで、これらの脆弱性について「実際の攻撃で悪用されている」との発表は行っていません。一方、脆弱性の詳細は多くの利用者に修正版が行き渡るまで制限される場合があるため、企業では内容の完全公開を待たずに更新を進める必要があります。

Google Chrome 8月20日セキュリティアップデートのサマリー

• 【確認済み】Googleは2026年8月20日、Chrome Stable Channelのセキュリティアップデートを公開しました。
• 【確認済み】Windows・macOS向けは151.0.7922.173/.174、Linux向けは151.0.7922.173へ更新されます。
• 【確認済み】今回のアップデートには7件のセキュリティ修正が含まれています。
• 【確認済み】最高深刻度はCriticalのCVE-2026-76017で、ChromotingにおけるUse-after-freeです。
• 【確認済み】CVE-2026-76017は、条件が成立した場合にサンドボックス外での任意コード実行につながる可能性があります。
• 【確認済み】High評価としてCVE-2026-76018からCVE-2026-76023まで6件が修正されています。
• 【確認済み】CVE-2026-76022はNetworkのBuffer Overflowで、サンドボックス外でのコード実行につながる可能性があります。
• 【確認済み】Android版Chrome 151.0.7922.173も8月20日に公開され、対応するデスクトップ版と原則同じセキュリティ修正を含みます。
• 【確認済み】Googleは今回のリリースで「野外で悪用されている」とは公表していません。
• 【確認できず】Google公式情報では、今回の7件に関する実用的なPoC公開は確認できませんでした。
• 【確認できず】2026年8月24日時点で、今回の7件についてCISA KEV Catalogへの掲載は確認できませんでした。
• 【確認済み】NVDはCVE-2026-76017についてNVD独自のCVSSをまだ付与していません。CISA-ADPはCVSS v3.1で8.8を付与しています。

項目	内容
公開日	2026年8月20日
対象	Google Chrome Stable
Windows	151.0.7922.173/.174
macOS	151.0.7922.173/.174
Linux	151.0.7922.173
Android	151.0.7922.173
修正件数	7件
Critical	1件
High	6件
実際の攻撃での悪用	Googleは今回のリリースで公表していません
PoC	公式情報では確認できませんでした
CISA KEV	2026年8月24日時点で掲載を確認できませんでした
対応	Chromeを最新バージョンへ更新し、再起動して適用

CriticalのCVE-2026-76017、ChromotingのUse-after-freeを修正

今回の更新で最も優先度が高いのが、CVE-2026-76017です。

Googleはこの脆弱性をCriticalと評価し、ChromotingにおけるUse-after-freeとして公表しています。

NVDに登録されたChromeの説明では、151.0.7922.173より前のGoogle Chromeで、細工されたネットワークトラフィックを介してリモートの攻撃者がサンドボックス外で任意コードを実行できる可能性があるとされています。

Use-after-freeは、解放済みのメモリ領域をプログラムが再び参照することで発生するメモリ安全性の問題です。条件によってはクラッシュだけでなく、任意コード実行へつながる可能性があります。

今回のCVEでは、Chrome自身がCriticalと評価している一方、NIST/NVD自身のCVSS Base Scoreは8月24日時点でまだ付与されていません。NVD上にはCISA-ADPによるCVSS v3.1 8.8が表示されています。

そのため、「CVSS 8.8がNVD公式評価」と表現するのは正確ではありません。

修正された7件のCVE

Googleが8月20日のStable Channel Updateで公表した7件は以下の通りです。

CVE	深刻度	コンポーネント	種別
CVE-2026-76017	Critical	Chromoting	Use after free
CVE-2026-76018	High	Import	Privilege elevation
CVE-2026-76019	High	Workers	Incorrect authorization
CVE-2026-76020	High	V8	Race condition
CVE-2026-76021	High	DOM	Use after free
CVE-2026-76022	High	Network	Buffer overflow
CVE-2026-76023	High	Linux Toolkit Theming	Improper resource control

Googleは脆弱性の詳細について、利用者の大多数へ修正が行き渡るまでIssue Trackerへのアクセスを制限する場合があるとしています。

第三者ライブラリにも同じ問題が存在し、他プロジェクト側で修正されていない場合についても、情報公開を継続して制限する可能性があります。

CVE-2026-76018、Importの権限昇格

CVE-2026-76018は、ChromeのImport機能におけるPrivilege Elevationの脆弱性です。Googleの深刻度評価はHighです。

NVDに登録されたChromeの説明では、151.0.7922.173より前のバージョンに影響し、ソーシャルエンジニアリングと細工されたファイルを組み合わせることで、リモートの攻撃者がサンドボックス外で任意コードを実行できる可能性があります。

このCVEについても、NVD独自のCVSS評価は8月24日時点で未付与ですが、CISA-ADPはCVSS v3.1 8.8と評価しています。

利用者に何らかの操作を促す条件が含まれているため、ブラウザ更新だけでなく、不審なファイルを開かないといった基本的な対策も重要です。

V8とDOMでもコード実行につながるHigh脆弱性

CVE-2026-76020は、ChromeのJavaScriptエンジンV8におけるRace Conditionです。

NVDに登録されたChromeの説明では、細工されたHTMLページを介して、サンドボックス内で任意コードを実行できる可能性があります。

CVE-2026-76021はDOMにおけるUse-after-freeで、同様に細工されたHTMLページを通じたサンドボックス内でのコード実行につながる可能性があります。

ブラウザ攻撃では、レンダラープロセス内でのコード実行と、サンドボックス外へ脱出する脆弱性を組み合わせる攻撃チェーンが問題になることがあります。

今回の7件が実際に組み合わせて悪用可能であるとGoogleが公表したわけではありませんが、V8やDOMのコード実行系脆弱性と、サンドボックス外への影響を持つ別の脆弱性が同じリリースで修正されている点は、企業側で更新を優先する理由になります。

NetworkのCVE-2026-76022はBuffer Overflow

CVE-2026-76022は、ChromeのNetworkコンポーネントにおけるBuffer Overflowです。

GoogleはHighと評価しています。

NVDに登録されたChromeのCVE情報では、151.0.7922.173より前のChromeにおいて、細工されたHTMLページを介してサンドボックス外で任意コードを実行できる可能性があるとされています。

Buffer Overflowは、確保されたメモリ領域を超えてデータを書き込むなどしてメモリ状態を破壊する脆弱性です。

ブラウザのNetworkコンポーネントはWebコンテンツ処理に近い位置にあるため、企業端末ではユーザーが不正なWebページへ誘導されるケースも想定して更新を進める必要があります。

Workersの認可不備とLinux Toolkit Themingも修正

CVE-2026-76019はWorkersのIncorrect Authorizationです。

公開されているCVE情報では、すでにレンダラープロセスを侵害した攻撃者が、ソーシャルエンジニアリングと細工されたHTMLページを利用してWeb Origin Policyを回避できる可能性があるとされています。

単独で最初の侵入を成立させる脆弱性というより、別の侵害と組み合わせた場合の影響が重要になります。

CVE-2026-76023はLinux Toolkit ThemingのImproper Resource Controlです。

NVDに登録されたChromeの説明では、レンダラープロセスを侵害済みのリモート攻撃者が、細工されたHTMLページを介してサンドボックス外で任意コードを実行できる可能性があります。

コンポーネント名にLinux Toolkit ThemingとあるためLinux環境では特に確認が必要ですが、影響範囲の詳細についてはGoogleのIssue Trackerで情報公開が制限されている可能性があります。

現時点で「ゼロデイ悪用」とは公表されていない

Google Chromeのセキュリティアップデートでは、すでに実際の攻撃で悪用されている脆弱性について、Googleが「exploit exists in the wild」と明記することがあります。

今回の8月20日のリリースには、その記載はありません。

したがって現時点で、

「CVE-2026-76017がゼロデイとして悪用されている」
「今回の7件がすでにサイバー攻撃に利用されている」

と断定する根拠はありません。

セキュリティ対策Labでは2026年6月、Googleが実際の悪用を明言したV8のCVE-2026-11645について、Google、Chromeの脆弱性を修正-V8 ゼロデイ脆弱性「CVE-2026-11645」が実際にサイバー攻撃に悪用中で取り上げています。

今回のリリースは、そのケースとは区別する必要があります。

Android版Chromeにも同じセキュリティ修正

Googleは8月20日、Android向けChrome 151.0.7922.173も公開しました。

GoogleはAndroid版について、特記がない限り、対応するデスクトップ版のセキュリティ修正を含むと説明しています。

そのためAndroid端末についても、Google PlayでChromeの更新状況を確認する必要があります。

一方、iOS版ChromeはWebレンダリングエンジンの構成がデスクトップ版・Android版とは異なるため、今回のデスクトップ向け7件をそのままiOSへ適用して考えるべきではありません。

8月18日にもCritical 2件を含む15件を修正

今回の8月20日更新は、8月18日のセキュリティアップデートからわずか2日後に公開されています。

8月18日のStable Channel Updateでは、Chrome 151.0.7922.169/.170向けに15件のセキュリティ修正が実施されました。

その中には、

• CVE-2026-76034：WebGLのBuffer Overflow
• CVE-2026-76036：DawnのBuffer Overflow

というCritical 2件が含まれていました。

つまり、8月18日に151.0.7922.169/.170へ更新済みの端末であっても、8月20日の追加修正を受けるため151.0.7922.173/.174以降への更新が必要です。

企業のパッチ管理では、「今週Chromeを更新したから対応済み」と判断せず、最終的なビルド番号まで確認する必要があります。

セキュリティ対策Labでは、Chromeの短期間での追加修正について、Google Chrome、Ozoneの2件のCritical脆弱性を含む15件を修正でも取り上げています。

ChromeはStable Channelの更新が短い間隔で追加されることがあるため、月1回のパッチ適用だけでは最新修正版へ追随できない場合があります。

情報システム部門への示唆

企業ではChromeの自動更新を有効にしていても、「更新ファイルが配布されたこと」と「修正版が実際に稼働していること」を分けて確認する必要があります。

Googleの公式ヘルプによると、Chromeは通常バックグラウンドで更新を取得しますが、更新の適用にはブラウザの再起動が必要です。

長期間Chromeを開き続けているユーザーでは、修正版がダウンロード済みでも旧バージョンのプロセスが稼働し続ける場合があります。

今回の対応では、少なくとも以下を確認してください。

• Windows・macOS端末が151.0.7922.173/.174以降になっているか
• Linux端末が151.0.7922.173以降になっているか
• Android端末が151.0.7922.173以降になっているか
• 更新保留状態の端末が残っていないか
• Chromeの再起動が完了しているか
• 端末管理製品から実際のChromeバージョンを取得できるか
• 自動更新を無効化している例外端末がないか
• VDI、共有端末、キオスク端末など再起動頻度の低い環境を確認したか
• Chromiumベースの別ブラウザについて各ベンダーの修正版を確認したか

特に今回のCVE-2026-76017とCVE-2026-76022は、公開されたCVE情報上、サンドボックス外でのコード実行につながる可能性があります。

実際の悪用が確認されていない段階であっても、ブラウザは外部Webコンテンツを日常的に処理するインターネット境界のアプリケーションです。

Critical・Highの修正については、一般的な月次パッチサイクルを待たず、短期間で展開状況を確認する運用が適しています。

また、8月18日と8月20日に連続してセキュリティ更新が公開されているため、管理画面では「151系であること」だけではなく、ビルド番号まで確認することが重要です。

Google Chromeでは、メニューから「ヘルプ」→「Google Chromeについて」を開くことで更新確認が行われ、更新が利用可能な場合は再起動後に適用されます。

出典

• Stable Channel Update for Desktop – Google Chrome Releases
• Chrome for Android Update – Google Chrome Releases
• Stable Channel Update for Desktop（2026年8月18日） – Google Chrome Releases
• CVE-2026-76017 – NVD
• CVE-2026-76018 – NVD
• CVE-2026-76019 – NVD
• CVE-2026-76020 – NVD
• CVE-2026-76021 – NVD
• CVE-2026-76022 – NVD
• CVE-2026-76023 – NVD
• Google Chromeを更新する – Google Chrome ヘルプ
• Known Exploited Vulnerabilities Catalog – CISA
• Google、Chromeの脆弱性を修正-V8 ゼロデイ脆弱性「CVE-2026-11645」が実際にサイバー攻撃に悪用中 – セキュリティ対策Lab
• Google Chrome、Ozoneの2件のCritical脆弱性を含む15件を修正 – セキュリティ対策Lab