Google、Chromeのゼロデイ脆弱性 CVE-2026-87491を修正 V8の境界外書き込み、実際のサイバー攻撃で悪用確認|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月10日更新日時: 2026年09月10日

Googleは2026年9月8日、デスクトップ版Google Chrome 153のStableチャネルを公開し、230件のセキュリティ修正を実施しました。

このうち「CVE-2026-87491」は、ChromeのJavaScript／WebAssemblyエンジン「V8」に存在する境界外書き込み（Out-of-Bounds Write）の脆弱性です。Googleは、この脆弱性を悪用するエクスプロイトが実際の環境に存在すると明らかにしています。

GoogleがCNAとして公開したCVEレコードによると、Chrome 153.0.8010.36未満が影響を受け、細工されたHTMLページを介してリモートの攻撃者がChromeのサンドボックス内で任意コードを実行できる可能性があります。CWEはCWE-787です。

修正版はWindows／macOS向けが153.0.8010.36/.37、Linux向けが153.0.8010.36です。Googleは数日から数週間かけて順次配信するとしています。

CVE-2026-87491は、Googleが2026年に実際の攻撃での悪用を確認したChromeの脆弱性として7件目にあたります。ただし、攻撃主体、標的、悪用された地域、攻撃チェーンなどは公表されていません。

CVE-2026-87491のサマリー

確認できている内容：

Googleは2026年9月8日、Chrome 153をStableチャネルへ昇格しました。
今回の更新には230件のセキュリティ修正が含まれています。
CVE-2026-87491はV8に存在する境界外書き込みの脆弱性です。
Googleは「CVE-2026-87491のエクスプロイトが実際の環境に存在する」と明記しています。
Googleが公開したCVEレコードでは、Chrome 153.0.8010.36未満が影響対象です。
細工されたHTMLページを介し、リモートの攻撃者がブラウザのサンドボックス内で任意コードを実行できる可能性があります。
CWEはCWE-787（Out-of-Bounds Write）です。
Chromiumの深刻度はMediumです。
発見者は韓国・ソウル大学Compsec LabのJihyeon Jeong氏です。
同氏は2026年8月6日にGoogleへ報告しました。
Googleは報奨金として2,500ドルを記載しています。
Windows／macOS／Linux向けに修正版が公開されています。
Android版Chrome 153にも、特記がない限り対応するデスクトップ版と同じセキュリティ修正が含まれます。

9月10日時点で確認できていない内容：

攻撃主体
攻撃対象となった組織・個人
悪用された国・地域
実際の攻撃チェーン
サンドボックス脱出まで確認されたか
公開PoC
公式CVSSスコア
CISA Known Exploited Vulnerabilities（KEV）Catalogへの掲載

項目	内容
CVE	CVE-2026-87491
公表日	Chrome修正版：2026年9月8日、CVEレコード：9月9日
対象	Google Chrome
コンポーネント	V8
脆弱性	Out-of-Bounds Write
CWE	CWE-787
Chromium深刻度	Medium
CVSS	公式CVEレコードでは未掲載
影響	細工されたHTMLページを介したサンドボックス内での任意コード実行
影響バージョン	Chrome 153.0.8010.36未満
悪用確認	あり。Googleがエクスプロイトの存在を確認
公開PoC	9月10日時点で一次情報から確認できず
CISA KEV	9月10日時点で掲載を確認できず
発見者	Jihyeon Jeong氏（Compsec Lab、Seoul National University）
Googleへの報告日	2026年8月6日
報奨金	2,500ドル

CVE-2026-87491はV8の境界外書き込み脆弱性

CVE-2026-87491は、Chromeに搭載されているV8 JavaScript／WebAssemblyエンジンの境界外書き込み脆弱性です。

境界外書き込みは、本来書き込みを許可されたメモリ領域の外側へデータを書き込めてしまう問題です。CVEレコードではCWE-787として分類されています。

GoogleがCNAとして公開したCVEレコードでは、Chrome 153.0.8010.36より前のバージョンにおいて、細工されたHTMLページを利用することで、リモートの攻撃者がChromeのサンドボックス内で任意コードを実行できると説明されています。

つまり、攻撃成立には悪意あるWebコンテンツをChromeで処理させることが前提になります。

一方、Googleは実際の攻撃でどのようなHTMLやJavaScriptが使われたのか、どのWebサイトが悪用されたのか、別の脆弱性と組み合わせてサンドボックス脱出まで行われたのかについては公表していません。

Googleは「エクスプロイトが実際の環境に存在」と明記

Googleは9月8日のChrome Stable Channel Updateで、「Google is aware that an exploit for CVE-2026-87491 exists in the wild」と明記しています。

これは、脆弱性が理論上悪用可能という段階ではなく、Googleが実際の環境で利用されるエクスプロイトの存在を把握していることを意味します。

一方、Googleは攻撃者、標的、悪用件数、攻撃キャンペーン名などを開示していません。

Googleは、Chrome利用者の大多数に修正が行き渡るまで、バグの詳細や関連リンクへのアクセスを制限する場合があると説明しています。第三者ライブラリにも同じ問題があり、他プロジェクトで修正が完了していない場合も制限を継続するとしています。

そのため、9月10日時点では脆弱性を再現できるレベルの詳細な技術情報はGoogleから公開されていません。

Chrome 153.0.8010.36/.37で修正

Googleが9月8日に公開した修正版は次のとおりです。

OS	修正版
Windows	Chrome 153.0.8010.36/.37
macOS	Chrome 153.0.8010.36/.37
Linux	Chrome 153.0.8010.36

GoogleはStableチャネルへの配信を数日から数週間かけて進めるとしています。

Android向けにはChrome 153.0.8010.36が公開されており、GoogleはAndroid版について、特記がない限り対応するデスクトップ版と同じセキュリティ修正を含むと説明しています。

Chromeは通常、自動的に更新を確認します。ただし、更新ファイルが取得済みでもブラウザを再起動するまで新バージョンへ切り替わらない場合があります。

企業側では自動更新ポリシーを設定しているだけでなく、管理対象端末が実際に修正版へ更新されたかを確認する必要があります。

Chrome 153では230件のセキュリティ修正

今回のChrome 153では、CVE-2026-87491以外にも合計230件のセキュリティ修正が行われています。

Googleが公開した一覧には、Critical評価の脆弱性として次の5件が含まれています。

CVE	内容	深刻度
CVE-2026-87464	WebGLのUse after free	Critical
CVE-2026-87488	WebGLのUse after free	Critical
CVE-2026-87438	WebGLのOut of bounds write	Critical
CVE-2026-87527	WebGLのBuffer overflow	Critical
CVE-2026-87628	CastのUse after free	Critical

ただし、Googleが今回「エクスプロイトが実際の環境に存在する」と明記しているのはCVE-2026-87491です。

Critical評価だから実悪用されている、あるいはMedium評価だから悪用されていない、という関係ではありません。

2026年に悪用が確認されたChromeゼロデイは7件

GoogleのChrome Releasesを確認すると、2026年に入ってからGoogleがエクスプロイトの存在を明示したChrome脆弱性は、CVE-2026-87491を含めて7件です。

公開時期	CVE	主な問題
2月13日	CVE-2026-2441	CSSのUse after free
3月12日	CVE-2026-3910	V8のInappropriate implementation
3月13日	CVE-2026-3909	SkiaのOut of bounds write
3月31日	CVE-2026-5281	DawnのUse after free
6月8日	CVE-2026-11645	V8のOut of bounds memory access
9月3日	CVE-2026-85046	V8のType confusion
9月8日	CVE-2026-87491	V8のOut of bounds write

このうち、CVE-2026-3910とCVE-2026-3909はGoogle Threat Analysis Group（TAG）が報告しています。

直前のCVE-2026-85046もV8の脆弱性で、Googleが9月3日に修正し、CISAは9月4日にKnown Exploited Vulnerabilities（KEV）Catalogへ追加しています。

Google、Chromeの脆弱性 CVE-2026-85046を修正、サイバー攻撃にも悪用、CISA KEVにも掲載

6月に修正されたV8のCVE-2026-11645についても、Googleが実際の攻撃での悪用を確認しています。

Google、Chromeの脆弱性を修正-V8 ゼロデイ脆弱性「CVE-2026-11645」が実際にサイバー攻撃に悪用中

CVE-2026-87491は9月10日時点でCISA KEV掲載を確認できず

GoogleはCVE-2026-87491について実際の環境でエクスプロイトが存在すると明記しています。

一方、9月10日時点でCISAのKnown Exploited Vulnerabilities Catalogを確認した範囲では、CVE-2026-87491の掲載は確認できませんでした。

CISA KEVへの掲載は、Googleによる実悪用確認と同時に行われるとは限りません。

直前のCVE-2026-85046では、Googleが9月3日に修正版を公開し、CISAが翌9月4日にKEVへ追加しています。

企業の対応判断では、KEVへの掲載を待たず、Google自身が悪用を確認している時点で更新を優先する方が安全です。

公開PoCや攻撃対象は確認できず

9月10日時点で、GoogleはCVE-2026-87491の攻撃手法や実際の悪用事例を公開していません。

少なくとも一次情報からは、次の情報を確認できませんでした。

公開PoC
攻撃コード
攻撃者グループ
国家関与
商用スパイウェアとの関連
標的となった企業・個人
攻撃対象となった国
悪用件数
サンドボックス脱出に使われた別の脆弱性

Google Threat Analysis Groupが発見者として記載されているわけでもありません。

CVE-2026-87491を報告したのは、韓国・ソウル大学Compsec LabのResearch InternであるJihyeon Jeong氏です。Google Chrome Releasesでは、2026年8月6日に報告されたと記載されています。

そのため、現時点で「標的型攻撃」「スパイウェア攻撃」「国家支援型攻撃」などと断定できる根拠はありません。

情報システム部門が確認したいポイント

Googleが実悪用を確認しているため、企業ではChromeの自動更新設定だけでなく、実際の適用状況を確認する必要があります。

Windows／macOSでChrome 153.0.8010.36/.37以上になっているか
LinuxでChrome 153.0.8010.36以上になっているか
Android版Chromeも最新バージョンへ更新されているか
Chromeの更新後にブラウザが再起動されているか
長期間ブラウザを起動したままの端末が残っていないか
ブラウザ更新をユーザー任せにしている端末を把握できるか
MDM、EDR、資産管理ツールからChromeのバージョンを一覧化できるか
拠点PC、VDI、共有端末、検証端末も更新対象に含まれているか
Chromiumベースの他ブラウザについて各ベンダーのセキュリティ更新状況を確認しているか
更新できない端末がある場合、その理由と期限を管理しているか

特にブラウザは、攻撃者がユーザーへ悪意あるURLを開かせることで初期アクセスに利用できるソフトウェアです。

今回のCVEレコードでは、細工されたHTMLページによるサンドボックス内での任意コード実行が影響として示されています。Googleは具体的な暫定回避策を案内していないため、修正版への更新を優先します。

<!– SEOディスクリプション案: GoogleがChromeのゼロデイ脆弱性CVE-2026-87491を修正。V8の境界外書き込みで、細工されたHTMLページからサンドボックス内の任意コード実行につながります。Googleは実際の攻撃での悪用を確認。修正版、CWE、KEV・PoC状況、2026年の7件のゼロデイを整理します。 –>