Google、Chromeの脆弱性 12件を修正(CVE-2026-16420、CVE-2026-16421)他|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月23日更新日時: 2026年07月23日

Googleは2026年7月21日、デスクトップ版Chromeの安定版チャンネルアップデート(バージョン150.0.7871.181/.182)を公開しました。このアップデートには12件のセキュリティ修正が含まれており、そのうち外部の研究者から報告されたものとして、WebAudioコンポーネントの型混同(Type Confusion)や不適切な実装、V8 JavaScriptエンジンのスタックバッファオーバーフローなど、いずれも深刻度High(高)に分類される脆弱性が含まれています。特筆すべきは、報告者の中にAIを活用した脆弱性発見ツールXBOWが含まれている点で、AIによる脆弱性調査が実際の製品セキュリティに寄与し始めている流れが、Chromeのリリースノートにも表れています。本稿執筆時点で、今回修正された12件について実際の悪用(in-the-wild exploitation)は報告されていませんが、パッチ公開後のリバースエンジニアリングによる武器化リスクを踏まえ、速やかなアップデートが推奨されます。

サマリー

Googleは2026年7月21日、デスクトップ版Chromeの安定版アップデート(150.0.7871.181/.182)を公開し、12件のセキュリティ脆弱性を修正しました
外部研究者から報告された脆弱性のうち、WebAudioの型混同(CVE-2026-16420)と不適切な実装(CVE-2026-16421)は、AI脆弱性発見ツールXBOWによって報告されました
V8 JavaScriptエンジンのスタックバッファオーバーフロー(CVE-2026-16418)、ANGLEの境界外書き込み(CVE-2026-16413)および境界外読み書き(CVE-2026-16419)、Skiaの初期化されていないメモリの使用(CVE-2026-16417)など、いずれもHigh評価の脆弱性が修正されています
このほか、UIおよびGPUコンポーネントの解放後使用(Use-After-Free)、Chromecast・Extensions・Certificateの入力検証不足など、幅広いコンポーネントにわたる脆弱性が修正対象となっています
報告者の内訳は、AIツールXBOWと、大半がGoogle社内のセキュリティチームによるものです
本稿執筆時点で、今回の12件について実際の悪用は報告されていません
アップデートは今後数日から数週間かけて段階的に展開される予定です

1 整理表
2 修正された主な脆弱性
3 AI脆弱性発見ツールXBOWによる報告
4 悪用状況とアップデートの展開
5 情報システム部門への示唆-Chromiumベースブラウザ全体への影響
6 出典

整理表

項目	内容
公開日	2026年7月21日
対象	デスクトップ版Google Chrome(Windows・Mac・Linux)
バージョン	150.0.7871.181/.182(Windows・Mac)、150.0.7871.181(Linux)
修正された脆弱性の総数	12件
深刻度	外部報告分はいずれもHigh(高)
主な脆弱性の種別	型混同、スタックバッファオーバーフロー、境界外読み書き、解放後使用(Use-After-Free)、入力検証不足
影響を受けるコンポーネント	WebAudio、V8、ANGLE、Skia、UI、GPU、Chromecast、Extensions、Certificate
注目の報告者	AI脆弱性発見ツールXBOW(WebAudioの2件を報告)
悪用状況	本稿執筆時点で実際の悪用は未報告
ロールアウト	今後数日〜数週間かけて段階的に展開

修正された主な脆弱性

今回のアップデートで修正された12件のうち、Googleがリリースノートで外部研究者からの報告としてハイライトしているものを中心に、主な脆弱性を整理します。いずれも深刻度はHigh(高)に分類されています。

WebAudio(Web上で音声を処理する機能)については、2件の脆弱性が修正されました。CVE-2026-16420は型混同(Type Confusion)の脆弱性で、オブジェクトの型を誤って扱うことでメモリ破損を引き起こし、任意のコード実行につながり得るものです。CVE-2026-16421はWebAudioにおける不適切な実装に起因する脆弱性です。

V8(ChromeのJavaScriptエンジン)については、CVE-2026-16418としてスタックバッファオーバーフローが修正されています。V8はブラウザ上でJavaScriptを実行する中核コンポーネントであり、悪意あるWebページを開くだけで攻撃の起点になり得るため、この種の脆弱性は特に注意が必要です。

グラフィックス関連では、ANGLE(グラフィックスの変換レイヤー)に2件の脆弱性が確認されました。CVE-2026-16413は境界外書き込み(Out of bounds write)、CVE-2026-16419は境界外の読み書き(Out of bounds read and write)です。また、グラフィックスライブラリSkiaにおける初期化されていないメモリの使用(CVE-2026-16417)も修正されています。

このほか、UIコンポーネントの解放後使用(Use-After-Free、CVE-2026-16423)、GPUコンポーネントの解放後使用(CVE-2026-16424)、Chromecastにおける信頼できない入力の検証不足(CVE-2026-16414)および整数オーバーフロー(CVE-2026-16416)、Extensions(拡張機能)における信頼できない入力の検証不足(CVE-2026-16415)、Certificate(証明書)における信頼できない入力の検証不足(CVE-2026-16422)が修正対象となっています。当サイトで既報のChrome 150で27件の脆弱性が修正された際にも指摘したとおり、V8・ANGLE・Skiaといったコンポーネントを中心に、解放後使用や入力検証の不足が繰り返し確認される傾向が、今回も続いています。

AI脆弱性発見ツールXBOWによる報告

今回のアップデートで注目すべきは、WebAudioの2件の脆弱性(CVE-2026-16420、CVE-2026-16421)が、XBOWによって発見・報告されたと明記されている点です。Googleのリリースノートによれば、これらはXBOWによって発見され、Brendan Dolan-Gavitt氏によってトリアージ(選別・評価)されたとされています。

XBOWは、AIを活用して自律的に脆弱性を発見するツール・プラットフォームとして知られています。ブラウザのような複雑かつ大規模なソフトウェアにおいて、AIツールが実際に深刻度Highの脆弱性を発見し、正規の脆弱性報告プロセスを通じてベンダーに報告するという流れは、AIによる脆弱性調査が防御側の実務にも着実に浸透しつつあることを示しています。当サイトでは、AIによる脆弱性発見・修正の動向を継続的に報じてきましたが、今回のChromeアップデートもその一例として位置づけられます。AIが脆弱性発見を加速させる流れは、防御側にとっては製品の堅牢化に寄与する一方、攻撃側にも同様の能力が利用可能である以上、パッチ公開後の迅速な適用の重要性はこれまで以上に高まっているといえます。

なお、今回のバージョンでは、脆弱性報告に対する報奨金として、XBOWが報告した2件にそれぞれ500ドルが支払われたことが明記されています。その他の脆弱性の大半は、Googleの社内セキュリティチームによって発見されたものです。Googleは、AddressSanitizer、MemorySanitizer、UndefinedBehaviorSanitizer、Control Flow Integrity、libFuzzer、AFLといった、メモリ安全性の検証やファジングのためのツールを用いて多くのセキュリティバグを検出していることも、リリースノートで改めて説明しています。

悪用状況とアップデートの展開

本稿執筆時点で、今回修正された12件の脆弱性について、実際の悪用(in-the-wild exploitation)が行われているという報告は確認されていません。当サイトで既報のV8ゼロデイCVE-2026-11645のように、悪用が確認された緊急のゼロデイ修正とは異なり、今回は通常のセキュリティパッチという位置づけです。

ただし、脆弱性の詳細やリンクへのアクセスは、大多数のユーザーが修正版に更新されるまで制限される場合があるとGoogleは説明しています。これは、公開された情報をもとに攻撃者がパッチをリバースエンジニアリングし、脆弱性を武器化することを防ぐための措置です。裏を返せば、パッチが公開された時点から、攻撃者が修正内容を解析して攻撃コードを作成するまでの時間的な猶予は限られているということでもあり、利用者・組織としては速やかにアップデートを適用することが重要です。

今回のアップデートは、今後数日から数週間かけて段階的に展開される予定です。

情報システム部門への示唆-Chromiumベースブラウザ全体への影響

Chromeの脆弱性対応で情報システム部門が留意すべき点として、今回修正されたV8やANGLE、SkiaといったコンポーネントはChromiumの共有コンポーネントであり、その脆弱性はChromiumベースのすべてのブラウザに影響するという点が挙げられます。Microsoft Edge、Brave、Opera、Vivaldiといった、Chromiumをベースとするブラウザも同様の脆弱性を抱えている可能性があるため、Chromeだけでなく、組織内で利用されているすべてのChromiumベースブラウザについて、各ベンダーからの更新を確認することが必要です。

組織的な対応としては、まずChromeの自動更新が有効になっていることを確認し、更新後にブラウザを再起動して修正を確実に適用することが基本です。多くの環境ではChromeは自動的に更新されますが、再起動しない限り更新が反映されないため、長期間ブラウザを起動したままにしている端末では、パッチが適用されていない状態が続く点に注意が必要です。企業でChromeを集中管理している場合は、管理コンソールを通じて更新状況を確認し、必要に応じて強制的な更新やブラウザの再起動を促す運用が有効です。

ブラウザは、業務のあらゆる場面で使われる最も身近なソフトウェアであり、悪意あるWebページを開くだけで攻撃の起点になり得るコンポーネント(V8やANGLE、WebAudio等)の脆弱性は、フィッシングやドライブバイダウンロード攻撃と組み合わされることで、実際の被害につながりかねません。今回のように悪用が確認されていない段階であっても、ブラウザのアップデートを後回しにせず、速やかに適用する運用習慣を組織全体で徹底することが、こうした脅威への基本的かつ効果的な備えになります。