Googleは11月9日(米国時間)、ウェブブラウザ「Google Chrome」のセキュリティ更新を公開し、9件のセキュリティホールを修正しました。このうち1件(CVE-2026-125350)については、すでに実際の攻撃に悪用されていることが確認されています。Chromeで「悪用済み」の欠陥が修正されるのは、2026年に入ってこれで8件目です。
このように、修正が出る前から攻撃者に使われていた欠陥は「ゼロデイ」と呼ばれます。開発元が対策を用意するまでの猶予が「0日」しかない、という意味で、利用者にとっては最も警戒すべきタイプの欠陥です。なお「CVE」は、世界共通で脆弱性に振られる識別番号のことです。
今回の欠陥は、ChromeのうちXMLというデータ形式を扱う部分にある「use-after-free(解放後使用)」と呼ばれる種類のバグで、深刻度は「高」とされています。use-after-freeは、プログラムが「もう使い終わった」として手放したメモリ領域を、誤って再び使ってしまう不具合です。攻撃者がうまく細工すると、ブラウザを異常終了させたり、場合によっては不正なプログラムを動かしたりできるおそれがあります。Googleは悪用の詳しい手口を明らかにしていませんが、これは多くの利用者が更新を済ませるまで攻撃者に情報を与えないための通例の対応です。
対策はシンプルで、Chromeを最新版に更新することです。パソコンの場合、Chromeの右上のメニューから「設定」→「Chromeについて」を開くと更新の確認が始まり、完了後に「再起動」を押せば適用されます。Chromeは自動で更新をダウンロードしますが、ブラウザを開きっぱなしにしていると再起動されるまで古いままなので注意が必要です。
また、Microsoft EdgeやBrave、OperaなどChromeと同じ基盤(Chromium)を使うブラウザも、同じ欠陥の影響を受ける可能性があります。これらを使っている人も、各ブラウザの更新が公開され次第、早めに適用しておきましょう。
出典: The Hacker News「Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026」