Chrome の V8 に型混同の脆弱性（悪用確認済み・修正版 152.0.7977.82）

High（CVSS 8.8）に分類されるGoogle Google Chrome（Chromium の JavaScript エンジン V8）152.0.7977.82 より前のデスクトップ版の脆弱性です。Google Chrome の JavaScript エンジン V8 に型混同（type confusion）の欠陥があり、細工した HTML ページを開かせるだけで、サンドボックス内で任意のコードを実行される。NVD の説明は「152.0.7977.82 より前の Chrome の V8 における型混同により、遠隔の攻撃者が細工した HTML ページ経由でサンドボックス内の任意コード実行を許した」というもので、Chromium 側のセキュリティ深刻度は High とされている。NVD の CVSS 3.1 基本値は 8.8（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）で、利用者がページを開くという操作（UI:R）だけが条件になる。型混同とは、あるメモリ領域を実際とは別の型のオブジェクトとして扱ってしまう誤りで、V8 のような JIT を持つエンジンでは最適化の前提と実際の型がずれたときに起きやすい。攻撃者はこのずれを使って、本来触れないはずのメモリを読み書きできる状態を作る。重要なのは、この CVE 単体では「サンドボックス内」の任意コード実行にとどまる点である。Chrome のレンダラプロセスは OS から見て強く制限された権限で動いており、端末を完全に奪うには別のサンドボックス脱出の欠陥と組み合わせる必要がある。ただし CISA は 2026年9月4日に本 CVE を KEV（悪用が確認された脆弱性カタログ）へ収載しており、実際に攻撃で使われていることが確認されている。是正期限は 2026年9月18日である。ブラウザの脆弱性は、利用者がリンクを開くという日常の操作がそのまま入口になるため、サーバ製品の脆弱性より到達しやすい。

**やることは1つで、Chrome を 152.0.7977.82 以降へ更新して再起動することである。** Chrome は既定で自動更新されるが、更新の適用にはブラウザの再起動が必要で、何日もタブを開いたままの端末では古いバージョンのまま動き続ける。まず chrome://settings/help を開いて実行中のバージョンを確認し、152.0.7977.82 未満なら更新して「再起動」を押す。組織で管理している場合は、資産管理や MDM の側で「実際に動いているバージョン」を集計すること。配布の設定が正しくても、再起動されていない端末が残るのが実務上の典型的な穴である。KEV の是正期限が 2026年9月18日なので、期限までに未更新端末をゼロにする形で棚卸しする。**Chromium を組み込んだ他製品も同じエンジンを持つ**が、それぞれ独自にビルドしているため、本 CVE の該当性と修正版は製品ごとに個別の告知で確認する必要がある。当サイトでは Chrome 以外の製品について 2026-09-05 時点で一次情報を確認できていないため「情報確認中」として扱い、推測でバージョンを書かない。サーバ側では、CI やスクレイピングで headless Chrome / Puppeteer / Playwright を動かしているコンテナが見落とされやすい。これらは自動更新の対象外で、ベースイメージを作り直すまで古い V8 を積んだままになる。

Google Google Chrome（Chromium の JavaScript エンジン V8）152.0.7977.82 より前のデスクトップ版 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_01882797386.html）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/18 です。早急な対応が推奨されます。