Google、ChromeのXMLを悪用する重大なゼロデイ脆弱性を修正

Google は、ブラウザの XML コンポーネントで積極的に悪用されている脆弱性に対処する Chrome セキュリティアップデートをリリースしました。これにより、今年パッチが適用された Chrome のゼロデイアップデートの数は 8 件になりました。この情報開示により、組織はブラウザの更新を加速し、ユーザーが影響を受けるインストールを再起動したかどうかを確認するよう新たなプレッシャーを受けることになります。

脆弱性は次のように追跡されます CVE-2026-125350これは、解放後の使用に関する重大度の高い欠陥です。 Googleは3日前に匿名の報告を受けた後、11月9日に修正版をリリースした。

「Google は、 CVE-2026-125350 野生に存在している」と同社は声明で述べた。 Chrome のセキュリティ勧告。このアップデートには 9 件のセキュリティ修正が含まれています。

今回の開示は、2026 年中にパッチが適用された他の 7 件の Chrome の脆弱性が積極的に悪用されたことに続くものです。ただし、現実世界で悪用が存在するかどうかは、攻撃がどの程度広範囲に及んでいるか、どのユーザーが最大の危険にさらされているかを証明するものではありません。

XML の脆弱性が意味するもの

Use-after-free の脆弱性は、ソフトウェアが再利用のためにメモリを解放した後もメモリにアクセスし続ける場合に発生します。古い参照が異なるデータを含む領域を指す可能性があり、プログラムが予期しない動作を引き起こす可能性があります。

この弱点についての MITRE の説明クラッシュ、データの破損、情報の漏洩、および適切な条件下での攻撃者制御のコードの実行など、考えられるいくつかの結果を特定します。結果は、脆弱な操作と、影響を受けるメモリに影響を与える攻撃者の能力によって異なります。

ブラウザは外部から提供されたコンテンツを日常的に処理するため、ブラウザユーザーにとってこの種の欠陥は懸念事項です。それにもかかわらず、use-after-free エクスプロイトの一般的な機能と、この特定の脆弱性がどのように兵器化されたかについての確認された説明と混同すべきではありません。

一般公開では、正確な配信メカニズム、被害者に必要なアクション、攻撃者が欠陥と追加の脆弱性を組み合わせたかどうかは確立されていません。したがって、これをデバイス乗っ取りを完了するための確認されたルートとして説明することは、入手可能な証拠を超えることになります。

悪用は確認されているが、攻撃に対する可視性は限られている

Google の認識は、これが理論上のセキュリティ問題以上のものであることを証明しています。管理された研究環境の外で、有効なエクスプロイトが観察されています。

ただし、同社の公告では、攻撃者、被害組織、標的となった国、キャンペーンなどは特定されていない。また、防御側が報告されたアクティビティを特定するために使用できる、キャンペーン固有の侵害の指標も提供しません。

Googleは、ユーザーがアップデートをインストールする際に、他のプロジェクトが影響を受けるサードパーティライブラリに依存している場合など、脆弱性の詳細を制限する可能性があると述べている。この開示ポリシー自体は、特定の共有ライブラリがこの欠陥の原因であることを証明するものではありません。

セキュリティチームにとって、開示が限定的であることは実質的な区別を生み出します。パッチ適用を優先するのに十分な証拠はありますが、不審なアクティビティがこのエクスプロイトによるものであると確信を持って帰属するための公開情報が不十分です。組織は、公開された攻撃指標がないことをシステムが安全である証拠として扱うことを避けるべきです。

ブラウザの悪用が自動的にシステム全体の侵害を意味しない理由

Chrome のセキュリティアーキテクチャには、侵害されたブラウザコンポーネントの実行を制限することを目的とした境界が導入されています。

クロムプロジェクトのサンドボックスのドキュメントは、レンダラープロセスが制限された環境で動作することを説明しています。これらの制限により、オペレーティングシステムリソースへのアクセスが制限され、サンドボックスプロセス内の欠陥によりコンピューターへの無制限のアクセスが自動的に許可されるのを防ぐことができます。

この区別は、潜在的な影響を評価する際に重要になります。制限されたブラウザープロセス内でコードを実行するのと、より広範なオペレーティングシステムアクセスを使用してコードを実行するのでは、結果は異なります。攻撃者がセキュリティ境界を越えるには、別の弱点が必要になる場合があります。

検討された開示には、次のような公的確認はありません。 CVE-2026-125350 サンドボックスからの脱出も含まれています。同様に、サンドボックスの存在は修復を遅らせる理由にはなりません。ブラウザーの分離によりリスクは軽減されますが、積極的に悪用された脆弱性には依然として迅速な対応が必要です。

どの Chrome バージョンに修正が含まれているか

Google は、次のパッチ適用済みデスクトップリリースを発表しました。

このリリースは Chrome の Stable チャネルを通じて配布されており、Google は今後数日から数週間以内に展開すると説明しています。これらは、発表で特定されたデスクトップバージョンです。バージョン番号をモバイルブラウザや他のブラウザベンダーの製品に適用しないでください。

組織の運用目標は、デバイスが修正リリースまたはその後のサポートされるバージョンを実行していることを確認することです。アップデートがダウンロードされたことを記録するだけでは、アクティブなブラウザセッションがパッチ適用された実行可能ファイルに切り替わったことは証明されません。

損害の大きいインシデントにつながる前に、セキュリティのギャップを埋めます。 SOC に脅威を可視化して、早期に検出して対応できるようにします👇🏻

同じリリースで対処された他の 8 つの脆弱性

悪用された XML 脆弱性が当面の優先事項ですが、このアップデートでは複数のブラウザコンポーネントにわたる弱点も解決されています。

一緒に CVE-2026-125350Google は、WebGL、ファイルシステム、コンポジット、GPU、V8、XML に影響を与える重大度の高い問題をリストに挙げています。さらに 2 つの GPU の問題が中程度の重大度評価を受けています。

もう 1 つの XML の欠陥は、 CVE-2026-125346これは、use-after-free 脆弱性としても分類されます。 Google の悪用承認では具体的に次の名前が挙げられています CVE-2026-125350; 2 番目の XML 問題が積極的に悪用されているとは特定しません。

リリースの範囲が広いため、完全なブラウザ更新を展開する価値が強化されます。修復では、個々のブラウザコンポーネントに個別に対処するのではなく、サポートされている修正ビルドに重点を置く必要があります。

1 年間繰り返された Chrome ゼロデイパッチ

最新の開示は、複数のコンポーネントにまたがる一連の Chrome の脆弱性悪用に続いたものです。

CVE-2026-2441 2月に
CVE-2026-3909 そして CVE-2026-3910 3月に
CVE-2026-5281 4月に
CVE-2026-11645 6月に
CVE-2026-85046 そして CVE-2026-87491 9月に。

11 月の XML 脆弱性により、報告された件数は合計 8 件になりました。

この図は、悪用され、その後パッチが適用されたことが知られている脆弱性を示しています。これは、攻撃キャンペーン、侵害された組織、または影響を受けたユーザーの数ではありません。

企業の防御者にとって、定期的な開示は、ブラウザのメンテナンスを継続的なセキュリティ責任として扱うことをサポートします。日常業務中に動作するブラウザの更新プロセスは、悪用が確認された場合に迅速に対応できなければなりません。

ユーザーが保護を更新および検証する方法

Googleの公式アップデート手順デスクトップユーザーに Chrome の 3 点メニューを開いて選択するように指示します。ヘルプそれから Google Chromeについて。このページには、インストールされているバージョンが表示され、利用可能なアップデートがないか確認されます。

ユーザーはアップデートが完了するまで許可し、選択する必要があります。再起動プロンプトが表示されたら。再起動後、同じページに戻って実行中のバージョンを確認する必要があります。

Googleは、Linuxユーザーはパッケージマネージャーを通じてChromeを更新する必要があると指摘している。また、そのガイダンスでは、更新は通常、ブラウザを閉じて再度開くときに有効になるため、長時間実行されるブラウザセッションが修復を完了する際の潜在的な障害になることも説明しています。

企業のセキュリティチームが優先すべきこと

管理された環境の場合、推奨される対応策は、展開を加速し、完了を確認し、例外を調査することです。

セキュリティチームと IT チームは、古いインストールを特定し、更新の制限によって展開が遅れているかどうかを確認し、ブラウザの再起動が適切な短い時間内に行われるようにする必要があります。オフラインのまま、更新に失敗する、またはサポートされているリリースを実行できないデバイスは、コンプライアンスレポートから消えるのではなく、明示的に追跡する必要があります。

Google はこの目的のために管理コントロールを提供しています。その Chrome Enterprise のガイダンスユーザーが延期できる推奨される再起動通知と、構成された通知期間によって管理される必須の再起動を区別します。管理者はこれらの制御を使用して、更新の可用性と実際の保護との間のギャップを減らすことができます。

賢明な検証プロセスでは、再起動後に実行されているバージョンを測定する必要があります。また、パッチ適用とインシデント対応を分離する必要があります。更新により脆弱なコードパスが閉じられますが、不審なブラウザまたはエンドポイントのアクティビティの証拠があれば、別の調査が必要になる場合があります。

他の Chromium ベース製品のユーザーの場合、適切な次のステップは、関連するベンダーのセキュリティ通知と利用可能なアップデートを確認することです。 Chrome のリリース番号だけでは、別の製品が影響を受けるか修正されるかどうかを判断することはできません。

当面の優先順位は明らかです。セキュリティアップデートをインストールし、Chrome を再起動して、パッチ適用されたバージョンがアクティブであることを確認します。さらに情報を開示することで攻撃が明確になる可能性がありますが、修復を開始するためにその追加の詳細は必要ありません。