今回の配信内容
Googleは10月6日のStableチャネル更新のリリースノートで、デスクトップ版Chromeをバージョン155に更新しました。新しいバージョンは一斉に配信されるのではなく、数日から数週間かけて段階的に配信されます。自動配信の順番を待つと、一部の端末はその分だけ修正を受け取るのが遅れます。
| 項目 | 内容 |
|---|---|
| 配信日（米国現地時間） | 2026年10月6日 |
| Stableバージョン | Windows・Mac 155.0.8059.39/.40、Linux 155.0.8059.39 |
| 配信方式 | 数日から数週間かけた段階的な配信 |
| セキュリティ修正 | 247件（Critical 4・High 53・Medium 122・Low 68） |
| 実際の悪用への言及 | なし（リリースノート原文に基づく） |
| 詳細情報の公開 | 大半のユーザーがアップデートするまで制限される場合あり。他のプロジェクトも使用する外部ライブラリの脆弱性は、その後も制限される場合あり |
Critical 4件 - いずれもUse after free
| CVE | 種類 | コンポーネント | 報告日 |
|---|---|---|---|
| CVE-2026-106382 | Use after free | Chromecast | 2026-07-15 |
| CVE-2026-106197 | Use after free | Browser | 2026-09-11 |
| CVE-2026-106358 | Use after free | Navigation | 2026-09-28 |
| CVE-2026-106347 | Use after free | Track | 2026-09-30 |
Use after freeは、すでに解放されたメモリ領域をプログラムが参照し続ける脆弱性です。攻撃者が解放された領域に狙ったデータを配置できれば、プログラムの処理の流れを変え、コード実行につながる可能性があります。
深刻度の意味も重要です。Chromiumの深刻度ガイドラインでは、Criticalは、ウェブコンテンツから引き起こせるブラウザプロセスのメモリ破損のように、サンドボックスの外でユーザー権限によりファイルやネットワークにアクセスできるようになる脆弱性に付けられます。レンダラーのサンドボックス内でのみコードを実行できる脆弱性は、通常Highに分類されます。4件の詳細な攻撃条件はまだ公開されていません。
報告者のクレジットにも注目すべき点があります。Critical 4件のうち2件はAIモデルの支援を受けた分析によって報告されており、Highにも、AIモデルやAIセキュリティツールの支援を受けて報告された項目が複数あります。脆弱性を見つけるスピードが上がるほど、修正をどれだけ早く端末まで反映できるかが、企業セキュリティを左右する要素になります。
High 53件 - データを解析する層に集中
| コンポーネント | 件数 | 主な種類 |
|---|---|---|
| ANGLE（グラフィックスAPI変換レイヤー） | 7 | 未初期化リソースの使用 5、Type confusion 1、Use after free 1 |
| Media | 5 | Use after free 4、未初期化リソースの使用 1 |
| V8（JavaScriptエンジン） | 3 | Race condition、Type confusion、Use after free |
| 2 | Use after free | |
| WebRTC | 2 | Use after free |
| Dawn・Tint（WebGPU実装） | 2 | 未初期化リソースの使用、Use after free |
| Skia（2Dグラフィックス） | 1 | 未初期化リソースの使用 |
| SiteIsolation | 1 | 不適切な権限付与 |
| その他のコンポーネント | 30 | リリースノート原文を参照 |
上の表の23件のうち22件が、グラフィックス・メディア・PDF・スクリプトのように、外部から受け取ったデータを解析する層にあります。こうした層の脆弱性は、ユーザーがウェブページを開いたり動画やPDFを表示したりするだけで悪用される可能性があるため、業務サイトしか使わないユーザーもアップデートの対象から外れません。
企業が今確認すべきこと
| 点検項目 | 基準 | 方法 |
|---|---|---|
| Chromeのバージョン | 155.0.8059.39以上（Windows・Macは.40を含む） | 資産管理ツールまたはchrome://version |
| 再起動が済んでいない端末 | アップデート後の再起動まで完了 | RelaunchNotification・RelaunchNotificationPeriodポリシーで再起動の期限を指定 |
| 段階的配信による適用の遅れ | 自動配信の順番を待たない | 企業向け配布ツールで155のインストーラーを直接配布 |
| 他のChromiumベースのブラウザ | 開発元による、Chrome 155の修正を反映したビルド | 開発元のセキュリティ情報とバージョン情報を確認 |
| Chromiumを内蔵した業務アプリ | Electronなどで作られた業務アプリのChromiumバージョン | 提供元の更新予定を確認 |
詳細情報が公開されていない段階では、特定の機能を無効にする一時的な緩和策に実際の効果があるかどうかを確認できません。根本的な対策はアップデートの適用です。
BrowZenの対応方針
BrowZenはChromiumベースの業務用ブラウザです。Chromeのセキュリティアップデートが公開されると、次の方針で対応します。
| 段階 | 内容 |
|---|---|
| 確認 | Googleのセキュリティ情報を毎日確認し、修正項目ごとにBrowZenへの反映状況を確認します |
| 反映 | 反映が必要な修正は、修正版ビルドを準備して顧客企業の管理者にご案内します |
| 公開 | 修正版ビルドの配布前には、詳細な影響情報を公開しません |
ブラウザエンジンのセキュリティ修正をどれだけ早く反映するかは、企業向けブラウザを選ぶ際に、機能一覧と同じくらい重要な基準です。導入を検討する際は、提供元にChromiumのセキュリティ修正の反映基準と反映履歴を求めてください。企業向けブラウザの基本概念はセキュアブラウザ(SEB)とは何かで整理しています。
