Chromeの脆弱性CVE-2026-125350が悪用、更新と再起動を

フラグシップAI編集部 · 2026年11月12日 · 7 min read

Googleは2026年11月9日（米国時間）、Chromeの安定版を更新し、9件の脆弱性を修正した。このうちXMLの処理にある脆弱性CVE-2026-125350について、Googleは「悪用するコードが出回っていることを把握している」としている。細工したWebページを開くだけで、ブラウザの中で攻撃者のプログラムを動かされるおそれがある。米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は11月10日、悪用が確認された脆弱性の一覧（KEV）に追加し、EdgeやOperaなど同じ部品（Chromium）を使う他のブラウザも影響を受けうると注記した。修正版はWindows・Macが 157.0.8103.50/.51、Linuxが 157.0.8103.50 である。

背景

CVE-2026-125350は、XMLの処理で、使い終わって解放したメモリをもう一度使ってしまう欠陥（解放後使用）である。Googleの重要度は4段階の上から2番目の「High」で、深刻度の指標（CVSS）は8.8とされている。NVDの説明では、細工したHTMLのページを読み込ませることで、ブラウザのサンドボックス（ページごとに処理を閉じ込める仕組み）の内側で任意のコードを実行できる。

報告者は外部の研究者（10月12日）と匿名の報告者（11月6日）の2者で、Googleは詳細を伏せている。多くの利用者が更新を終えるまで、不具合の情報を公開しないのがChromeの通常の運用である。CISAは米政府機関に11月24日までの対応を求めている。

今回の更新では、ほかに8件の脆弱性も修正された。画像の描画（WebGL・GPU）、JavaScriptの実行エンジン（V8）、ファイル操作の権限確認などで、そのうち5件が「High」である。

リスクの全体像

ブラウザの脆弱性は、メールの添付ファイルと違って「開く前に疑う」ことが難しい。検索結果や広告、取引先のサイトが改ざんされていれば、ふだん通りの閲覧で攻撃のページを読み込む。社員の注意では防げないため、更新が唯一の確実な対策になる。

サンドボックスの内側でのコード実行だけでは、PC全体を乗っ取るには足りない。ただし実際の攻撃では、サンドボックスの外に出る別の脆弱性と組み合わせることが多い。Googleが同じ更新でGPUやファイル操作の脆弱性を直しているのは、そうした組み合わせの部品になりうるからである。

中小企業で見落とされやすいのは、更新の「再起動」である。Chromeは裏で修正版を取り込むが、ブラウザを閉じて開き直すまで古い版のまま動き続ける。タブを何十枚も開いたまま何週間も閉じない社員のPCは、修正版を受け取っていても守られていない。

チェックリスト

社員のPCで、次の点を確かめる。

Chromeの「設定」→「Chromeについて」で、版が 157.0.8103.50 以上になっているか（画面に「再起動」ボタンが出ていたら、まだ効いていない）
Edgeの「設定」→「Microsoft Edge について」で、最新版に更新されているか
Opera、Brave、Vivaldiなど、Chromiumを使う他のブラウザを社員が入れていないか。入れているなら、それぞれ更新されているか
社内で決めた管理ツール（Google Workspace、Intuneなど）で、ブラウザの版を一覧で確認できるか
ブラウザの自動更新を止める設定や、古い版に固定する設定が入っていないか

打ち手

まず、全社員に「今日中にブラウザを閉じて開き直す」よう一斉に連絡する。ChromeとEdgeの両方が対象であることを書き添える。文面は「ブラウザの右上に更新のマークが出ていたら押す。出ていなくても一度閉じて開き直す」と、操作で書く。

次に、確認の手段を持つ。Google WorkspaceのChromeの管理や、Intuneなどの端末管理を使っていれば、ブラウザの版を一覧で見られる。管理の仕組みが無い会社では、社員に「Chromeについて」の画面のスクリーンショットを送ってもらうだけでも、取り残されたPCを見つけられる。管理の仕組みがあれば、一定の日数がたつとブラウザの再起動を促す設定（Chromeの「RelaunchNotification」など）も入れておく。

最後に、使うブラウザを絞る。会社のPCに入っているブラウザの種類が多いほど、更新を確かめる手間が増える。業務で使うブラウザを1〜2種類に決め、それ以外は入れないようにすると、次に同じことが起きたときの確認が早くなる。

ブラウザの更新は、再起動するまで効いていない。

同じテーマの記事

このテーマの記事一覧: 脆弱性と更新管理の記事まとめ

Omamori AI の結論

事実: ChromeのXML処理の脆弱性（CVE-2026-125350）が悪用されている。11月9日の更新で修正され、EdgeなどChromiumを使う他のブラウザも影響を受けうる。
判断軸: 社員のPCのブラウザが、修正版を受け取っただけでなく、再起動まで済んでいるかを問う。
打ち手: 全社員にブラウザの再起動を一斉に頼み、版を一覧で確かめる手段を持つ。業務で使うブラウザの種類を絞る。

経営者視点で考えるべきこと

ブラウザは、社員が業務時間の大半を過ごす道具であり、外部から攻撃のページが届く最も広い入口でもある。Chromeの悪用が確認された脆弱性は、毎年何件も出ている。経営者が確かめるべきことは2つある。悪用が確認されたブラウザの脆弱性が出たとき、誰が社員に再起動を呼びかけるか決まっているか。社員のPCのブラウザの版を、会社として確認する手段があるか。この2つが無ければ、更新が当たったかどうかは社員一人ひとりの習慣に任されたままになる。

出典

この記事の対策を自社で進めるなら

Omamori Security
使っている製品の脆弱性と修正版を、メールで受け取れます。
SecurityOS
Webサーバーから要らないコマンドと権限を外した専用のOSです。

フラッグシップAIに相談する／サービスの一覧

TAGS パッチ管理脆弱性・CVE

編集部

Omamori AI 編集部

CISO・情シス・経営層向けに、AIセキュリティの一次情報を編集視点で整理

記事の論点を、自社のリスク評価に

90秒の自己診断 or CISO/情シス向け月次レビュー（顧問契約）でアクションに繋げます。

無料 90秒自己診断顧問契約詳細