情報取得日: 2026/09/09・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-87491 |
|---|---|
| 製品 | Google / Google Chrome（Chromium の JavaScript エンジン V8）153.0.8010.36 より前のデスクトップ版 |
| CVSS | 8.8（High） CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-787 範囲外書き込み（out-of-bounds write） |
| 登録／公開日 | 2026/09/09 |
| KEV 期限 | 2026/09/23 まで（米国連邦機関向け目安） |
| 出典 | https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_0808145027.html |
Google Chrome の JavaScript エンジン V8 に範囲外書き込み（out-of-bounds write）の欠陥があり、細工した HTML ページを開かせるだけで、サンドボックス内で任意のコードを実行される。NVD の説明は「153.0.8010.36 より前の Chrome の V8 における範囲外書き込みにより、遠隔の攻撃者が細工した HTML ページ経由でサンドボックス内の任意コード実行を許した」というもので、CVSS 3.1 基本値は 8.8（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）である。条件は利用者がページを開くこと（UI:R）だけで、事前の権限は要らない。 **Google は 2026年9月8日の Chrome 153 安定版リリースノートで「CVE-2026-87491 の悪用コードが実際に出回っていることを把握している」と明記している。** 同じノートでの Chromium 側の深刻度は Medium だが、CISA は翌9月9日に本 CVE を KEV（悪用が確認された脆弱性カタログ）へ収載し、是正期限を 2026年9月23日とした。深刻度の表記より、実際に攻撃で使われている事実のほうを優先して扱うべきである。 範囲外書き込みとは、確保した領域の外側へデータを書いてしまう誤りで、隣接するオブジェクトを書き換えられる。V8 ではこれを足がかりに、本来触れないメモリを読み書きできる状態を作られる。この CVE 単体では「サンドボックス内」の任意コード実行にとどまり、端末を完全に奪うには別のサンドボックス脱出の欠陥と組み合わせる必要がある。9月4日に KEV 入りした同じ V8 の CVE-2026-85046（型混同）に続き、**1週間のうちに V8 の実悪用が2件確認された**ことになる。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
WorkSpaces / AppStream 2.0 / EC2 上のデスクトップ環境にある Chrome を 153.0.8010.36 以降へ更新し、ブラウザを再起動する。CodeBuild などで headless Chrome を含むイメージを使っている場合はイメージを再ビルドする
本 CVE に対する AWS 個別のセキュリティ速報は 2026-09-14 時点で確認できていない。AWS のマネージドサービスの欠陥ではなく、利用者が持ち込んだブラウザの更新作業である。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の仮想デスクトップや、Cloud Build / Cloud Run で使う Chrome 入りコンテナイメージを 153.0.8010.36 以降のビルドへ入れ替える
本 CVE に対する GCP 個別のセキュリティ速報は 2026-09-14 時点で確認できていない。クラウド側の対応手順としては利用者による更新となる。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure Virtual Desktop / VM 上の Chrome を 153.0.8010.36 以降へ更新する。Intune で配布している場合は配布済みバージョンではなく実際に動いているバージョンを集計する
Microsoft Edge も Chromium ベースだが、本 CVE に対する Edge の該当性と修正版は 2026-09-14 時点で一次情報を確認できていないため情報確認中とする。推測で対応版を書かない。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
google-chrome-stable は Google 公式の apt / yum リポジトリから更新する（例: apt update && apt install --only-upgrade google-chrome-stable）。Linux 版の修正版は 153.0.8010.36。更新後は起動中のブラウザを再起動する
ディストリが配布する chromium パッケージは Google 版とは別ビルドで、修正の取り込み時期も異なる。Debian / Ubuntu / Red Hat 各トラッカーでの本 CVE の対応状況は 2026-09-14 時点で確認できていないため、ディストリ版を使っている場合は各トラッカーで要確認。
参照リンク
|
**やることは1つで、Chrome を 153.0.8010.36 以降（Windows / Mac は 153.0.8010.36 または .37）へ更新して再起動することである。** Chrome は既定で自動更新されるが、更新の適用には再起動が必要で、タブを開いたままの端末は古いバージョンのまま動き続ける。chrome://settings/help を開いて実行中のバージョンを確認し、153.0.8010.36 未満なら更新して「再起動」を押す。 **先週の CVE-2026-85046（修正版 152.0.7977.82）を塞いだ端末も、本件では再び対象になる。** 152 系のままでは足りず、153 系への更新が要る。組織で管理している場合は、資産管理や MDM で「実際に動いているバージョン」を集計し、KEV の是正期限 2026年9月23日までに 153.0.8010.36 未満をゼロにする形で棚卸しする。 **Chromium を組み込んだ他製品（Microsoft Edge / Opera など）も同じエンジンを持つ**が、それぞれ独自にビルドしているため、本 CVE の該当性と修正版は製品ごとの告知で確認する必要がある。当サイトでは Chrome 以外の製品について 2026-09-14 時点で一次情報を確認できていないため「情報確認中」として扱い、推測でバージョンを書かない。 サーバ側では、CI やスクレイピングで headless Chrome / Puppeteer / Playwright を動かしているコンテナが見落とされやすい。これらは自動更新の対象外で、ベースイメージを作り直すまで古い V8 を積んだままになる。
High（CVSS 8.8）に分類されるGoogle Google Chrome（Chromium の JavaScript エンジン V8）153.0.8010.36 より前のデスクトップ版の脆弱性です。Google Chrome の JavaScript エンジン V8 に範囲外書き込み（out-of-bounds write）の欠陥があり、細工した HTML ページを開かせるだけで、サンドボックス内で任意のコードを実行される。NVD の説明は「153.0.8010.36 より前の Chrome の V8 における範囲外書き込みにより、遠隔の攻撃者が細工した HTML ページ経由でサンドボックス内の任意コード実行を許した」というもので、CVSS 3.1 基本値は 8.8（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）である。条件は利用者がページを開くこと（UI:R）だけで、事前の権限は要らない。 **Google は 2026年9月8日の Chrome 153 安定版リリースノートで「CVE-2026-87491 の悪用コードが実際に出回っていることを把握している」と明記している。** 同じノートでの Chromium 側の深刻度は Medium だが、CISA は翌9月9日に本 CVE を KEV（悪用が確認された脆弱性カタログ）へ収載し、是正期限を 2026年9月23日とした。深刻度の表記より、実際に攻撃で使われている事実のほうを優先して扱うべきである。 範囲外書き込みとは、確保した領域の外側へデータを書いてしまう誤りで、隣接するオブジェクトを書き換えられる。V8 ではこれを足がかりに、本来触れないメモリを読み書きできる状態を作られる。この CVE 単体では「サンドボックス内」の任意コード実行にとどまり、端末を完全に奪うには別のサンドボックス脱出の欠陥と組み合わせる必要がある。9月4日に KEV 入りした同じ V8 の CVE-2026-85046（型混同）に続き、**1週間のうちに V8 の実悪用が2件確認された**ことになる。
**やることは1つで、Chrome を 153.0.8010.36 以降（Windows / Mac は 153.0.8010.36 または .37）へ更新して再起動することである。** Chrome は既定で自動更新されるが、更新の適用には再起動が必要で、タブを開いたままの端末は古いバージョンのまま動き続ける。chrome://settings/help を開いて実行中のバージョンを確認し、153.0.8010.36 未満なら更新して「再起動」を押す。 **先週の CVE-2026-85046（修正版 152.0.7977.82）を塞いだ端末も、本件では再び対象になる。** 152 系のままでは足りず、153 系への更新が要る。組織で管理している場合は、資産管理や MDM で「実際に動いているバージョン」を集計し、KEV の是正期限 2026年9月23日までに 153.0.8010.36 未満をゼロにする形で棚卸しする。 **Chromium を組み込んだ他製品（Microsoft Edge / Opera など）も同じエンジンを持つ**が、それぞれ独自にビルドしているため、本 CVE の該当性と修正版は製品ごとの告知で確認する必要がある。当サイトでは Chrome 以外の製品について 2026-09-14 時点で一次情報を確認できていないため「情報確認中」として扱い、推測でバージョンを書かない。 サーバ側では、CI やスクレイピングで headless Chrome / Puppeteer / Playwright を動かしているコンテナが見落とされやすい。これらは自動更新の対象外で、ベースイメージを作り直すまで古い V8 を積んだままになる。
Google Google Chrome（Chromium の JavaScript エンジン V8）153.0.8010.36 より前のデスクトップ版 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_0808145027.html）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/23 です。早急な対応が推奨されます。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。