Google、Chrome 定期更新で10件の脆弱性を修正―CriticalのCVE-2026-110922、V8やDOMにも問題|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月19日更新日時: 2026年10月19日

Googleは2026年10月15日（米国時間）、デスクトップ版Google ChromeのStableチャネル向けにセキュリティアップデートを公開しました。修正版はWindows・macOS向けが155.0.8059.84/.85、Linux向けが155.0.8059.84です。今回の更新では10件の脆弱性を修正し、そのうち1件を深刻度「Critical」に分類しています。

最も深刻なのは、ページの事前読み込みに関わるPrerender機能のUse-after-free（解放後使用）脆弱性「CVE-2026-110922」です。JavaScriptエンジンV8やDOMなどにも複数のメモリ破壊に関する問題が含まれます。Googleは更新を段階的に配信しているため、公式発表から数日後に利用者の端末へ適用される場合があります。

Chrome 155の10月15日更新のサマリー

Googleは2026年10月15日、Chrome Stableチャネルのセキュリティアップデートを公表しました。
Windows・macOS向けの修正版は155.0.8059.84/.85、Linux向けは155.0.8059.84です。
セキュリティ修正は10件で、内訳はCritical 1件、High 6件、Medium 3件です。
Criticalの「CVE-2026-110922」はPrerenderのUse-after-freeです。
V8ではUse-after-freeが2件、メモリ破壊が1件修正されました。
DOMのメモリ破壊「CVE-2026-110913」は、Anthropic所属の研究者Xinyang Ge氏がClaudeの支援を受けて報告したとGoogleが記載しています。
Googleの10月15日付公式発表には、今回の脆弱性について実際の攻撃での悪用を確認したとの記載はありません。
10月13日にも別のStable更新が公開され、37件の脆弱性修正が公表されています。今回の10件とは別のリリースです。

項目	内容
発表日	2026年10月15日（米国時間）
製品	Google Chrome Stable（デスクトップ版）
Windows / macOS	155.0.8059.84 / 155.0.8059.85
Linux	155.0.8059.84
脆弱性修正件数	10件
深刻度	Critical 1件、High 6件、Medium 3件
主要CVE	CVE-2026-110922
主な修正対象	Prerender、V8、DOM、Core、SVG、Desktop、Compositing、Workers

CriticalのCVE-2026-110922―PrerenderのUse-after-free

「CVE-2026-110922」は、ChromeのPrerender機能に存在するUse-after-free脆弱性です。Prerenderは、ユーザーが次に移動する可能性のあるページを事前に読み込み、表示までの時間を短縮する機能です。

Use-after-freeは、メモリ上で解放されたオブジェクトへプログラムが再びアクセスしてしまう種類の不具合です。悪用条件によってはメモリ破壊などにつながります。Googleは今回の問題をCriticalと評価していますが、公式リリースには具体的な攻撃手順や被害事例は記載されていません。

Googleの発表によると、この脆弱性はXinyang Ge氏が2026年10月2日に報告しました。

Chrome 155で修正されたCVE一覧

Googleが10月15日付のStableチャネル向け発表に掲載した10件は以下のとおりです。深刻度はGoogleによる分類で、個別のCVSSスコアを示すものではありません。

深刻度	CVE番号	脆弱性の内容・対象
Critical	CVE-2026-110922	PrerenderのUse-after-free
High	CVE-2026-110913	DOMのメモリ破壊
High	CVE-2026-110919	V8のUse-after-free
High	CVE-2026-110918	Coreのメモリ破壊
High	CVE-2026-110917	SVGのメモリ破壊
High	CVE-2026-110921	V8のUse-after-free
High	CVE-2026-110920	V8のメモリ破壊
Medium	CVE-2026-110916	Desktopの入力検証不備
Medium	CVE-2026-110915	CompositingのUse-after-free
Medium	CVE-2026-110914	Workersのメモリ破壊

V8関連だけで3件が含まれている点は、ブラウザのスクリプト処理の安全性を確認するうえで注目されます。Googleは多くの利用者へ修正が届くまで、一部の脆弱性の詳細や不具合報告へのアクセスを制限する場合があると説明しています。

DOMの脆弱性はAnthropicの研究者がClaudeの支援を受けて報告

Highに分類された「CVE-2026-110913」はDOMのメモリ破壊に関する脆弱性です。Googleの公式リリースには、Anthropic所属のXinyang Ge氏がClaudeの支援を受けて2026年9月29日に報告したと明記されています。

これは脆弱性の発見・報告にAIツールが利用されたという情報であり、Claudeが攻撃に使用されたことを示すものではありません。CVE-2026-110913についても、Googleはこのリリースで実際の攻撃での悪用を明らかにしていません。

10月13日にも37件を修正―今回の10件と混同しない

Googleは10月15日付更新に先立ち、10月13日にもChrome 155のStable更新を公表しています。こちらはWindows・macOS向け155.0.8059.79/.80、Linux向け155.0.8059.79で、37件のセキュリティ修正を含む別のリリースです。

10月13日付リリースでは、ANGLEのバッファオーバーフロー「CVE-2026-110152」やPDFのUse-after-free「CVE-2026-110136」など、Criticalに分類された7件の修正を公表しました。

したがって、今回のニュースを「10月18日に新たなゼロデイを緊急修正」と表現するのは適切ではありません。10月18日にブラウザが自動更新された場合でも、メーカーの発表日と端末への適用日は異なります。

また、10月15日には企業向けのExtended Stableチャネル（Windows・macOS）についても152.0.7977.169への更新が案内されています。Extended Stableの10件の内訳は通常のStableとは異なり、Criticalが2件、Highが8件です。運用中のチャネルに応じて適用対象を確認してください。

情報システム部門はバージョンとブラウザ再起動を確認

企業でChromeを運用している場合、通常のStableチャネルではWindows・macOS向け155.0.8059.84/.85、Linux向け155.0.8059.84、またはそれ以降の提供済み修正版へ更新されているかを確認します。

Chromeのメニューから「ヘルプ」→「Google Chromeについて」を開くか、アドレスバーに chrome://settings/help を入力すると、更新状況を確認できます。更新ファイルをダウンロード済みでも、ブラウザを再起動するまで修正版の利用が始まらない場合があります。

管理端末では、Chromeの更新ポリシーによる配信遅延、長期間ブラウザを閉じていない端末、部署ごとのバージョン差を確認します。10月13日と15日に短い間隔で更新が出ているため、特定のCVEだけではなく、端末が採用チャネルの最新修正版を使用しているかを基準とする方が適切です。

Chromeは9月・10月にも複数のセキュリティ更新を公開しています。直前の追加更新では、Chrome 154のWebGLに存在するCriticalのCVE-2026-103628が修正されました。更新が複数の端末で滞留している場合は、脆弱性管理の手順と優先順位付けに沿って未更新端末の把握と適用状況の追跡を進めます。