Google、Chromeの高深刻度 脆弱性3件を修正 CVE-2026-13281、CVE-2026-13282、CVE-2026-13283

Googleは2026年6月25日、デスクトップ向けGoogle Chromeの安定版チャンネルを更新し、WindowsおよびMac向けに149.0.7827.200/201、Linux向けに149.0.7827.200を公開しました。

今回のアップデートでは、Mojo、Payments、AdFilterに関する高深刻度の脆弱性3件が修正されています。Googleは、修正版を今後数日から数週間かけて順次展開するとしています。

企業や組織でChromeを利用している場合は、自動更新を待つだけでなく、管理対象端末でバージョンが更新済みかを確認する必要があります。

サマリー

• Googleは2026年6月25日、デスクトップ向けChrome安定版を更新
• 更新後のバージョンはWindows・Mac向け149.0.7827.200/201、Linux向け149.0.7827.200
• 今回の更新には3件のセキュリティ修正が含まれる
• 修正された脆弱性はいずれも深刻度High
• 対象はMojoのInteger overflow、PaymentsのUse after free、AdFilterのUse after free
• Googleのリリースでは、今回の3件について悪用確認に関する記載はありません
• 脆弱性の詳細は、多くのユーザーが修正版へ更新するまで制限される場合があります
• 情シス部門では、Chromeのバージョン確認と管理端末への展開状況確認が必要です

概要

Google Chromeの安定版アップデートにより、3件の高深刻度脆弱性が修正されました。

対象となる脆弱性は、CVE-2026-13281、CVE-2026-13282、CVE-2026-13283です。いずれもGoogleから報告された脆弱性で、Mojo、Payments、AdFilterといったChrome内部の機能に関係しています。

Googleは、脆弱性の詳細や関連リンクについて、多くのユーザーが修正版へ更新するまでアクセスを制限する場合があると説明しています。これは、未更新のユーザーが脆弱性の詳細を悪用されるリスクを下げるための措置です。

修正された脆弱性

今回のアップデートで修正された脆弱性は以下の3件です。

MojoはChromium内部でプロセス間通信などに使われる仕組みに関係するコンポーネントです。PaymentsはWeb決済関連機能、AdFilterは広告フィルタリング関連の処理に関係します。

特にUse after freeは、解放済みメモリを再利用してしまうことで発生するメモリ破損系の脆弱性です。攻撃者が悪用に成功した場合、クラッシュや任意コード実行につながる可能性があるため、Chromeでは繰り返し重要な修正対象になっています。

影響を受けるバージョン

今回のリリースでは、修正後のバージョンとして以下が案内されています。

Chromeのバージョンが上記より古い場合は、今回修正された脆弱性の影響を受ける可能性があります。

ただし、Chromeの更新は段階的に展開されるため、環境によってはすぐに最新版が表示されない場合があります。企業で管理している端末では、Google管理コンソール、MDM、Microsoft Intuneなどの管理画面で更新状況を確認してください。

対応手順

Chromeを利用している場合は、以下の手順でバージョンを確認してください。

chrome://settings/help

Chromeのアドレスバーに上記を入力すると、現在のバージョン確認とアップデート確認が行われます。アップデートが適用された場合は、ブラウザの再起動が必要です。

手動で確認する場合は、Chrome右上のメニューから、ヘルプ、Google Chromeについてを開きます。アップデートが利用可能な場合は自動的にダウンロードされ、再起動後に反映されます。

組織でChromeを利用している場合は、利用者任せにせず、管理対象端末のバージョン分布を確認してください。特に、業務端末、VDI環境、共有端末、開発端末、検証端末で更新漏れが発生しやすいため注意が必要です。

Chromiumベースブラウザも確認を

Microsoft Edge、Brave、Vivaldi、OperaなどのChromiumベースブラウザを利用している場合も、各ベンダーから対応版が提供されているか確認してください。

今回のリリースはGoogle Chrome向けの安定版更新ですが、Chromium由来の脆弱性は他のChromiumベースブラウザにも影響する可能性があります。業務で複数ブラウザを許可している企業では、Chromeだけでなく、利用を認めているブラウザ全体の更新状況を確認する必要があります。

情シスが確認すべきポイント

情シス部門では、まず管理対象端末のChromeが149.0.7827.200/201またはそれ以降に更新されているかを確認してください。Windows、Mac、Linuxが混在している組織では、OSごとに更新状況を分けて確認する必要があります。

次に、自動更新が無効化されている端末や、長期間再起動されていない端末を確認してください。Chromeはアップデートがダウンロードされていても、ブラウザ再起動が行われるまで修正が反映されない場合があります。

また、VDI、キオスク端末、検証用端末、開発者端末など、通常の資産管理から漏れやすい端末も確認対象に含めるべきです。脆弱性対応では、一般利用者の端末だけでなく、管理者権限を持つ端末や社内システムへアクセスできる端末の更新漏れがリスクになります。

関連記事

Google、Chromeの脆弱性 33件を修正(CVE-2026-12437,CVE-2026-12443)他

Google、Chromeの脆弱性を修正-V8 ゼロデイ 脆弱性「CVE-2026-11645」が実際にサイバー攻撃に悪用中

Google、Chromeの高深刻度 脆弱性 8件を修正(CVE-2026-4673〜4680)

Google、Chromeの安定版で3件の脆弱性を緊急修正（CVE-2026-3061、CVE-2026-3062、CVE-2026-3063）

関連記事

Google、Chromeの脆弱性を修正-V8 ゼロデイ 脆弱性 「CVE-2026-11645」が実際にサイバー攻撃に悪用中 Google、Chromeの脆弱性 33件を修正(CVE-2026-12437,CVE-2026-12443)他 Google、Chromeの高深刻度 脆弱性 8件を修正(CVE-2026-4673〜4680) Google Chromeの定例アップデートで深刻な脆弱性(CVE-2025-4664)を修正、既に悪用確認済み-最新版への即時アップデートを推奨 Google、Chromeをアップデート、151件の脆弱性を修正-CVE-2026-9872（GPU）,CVE-2026-9873（Network） Spring SecurityとSpring WSがXSS・SSRF・XXE・BSP検証バイパスを含む複数の脆弱性を修正(CVE-2026-41003,CVE-2026-40999)他 Google、Chromeの16件の脆弱性を修正、WebRTCのCVE-2026-9111で任意コード実行の恐れ GitHubの5,561リポジトリが6時間で侵害-SafeDepが自動化 サプライチェーン攻撃「Megalodon」を公開 KubernetesのFaaSフレームワーク「Fission」ルーターに深刻な脆弱性 CVE-2026-46614

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)