Chrome脆弱性修正2024以降の加速：Chrome 157が213件を一括パッチ適用

公開日：2026年11月5日文：クリスタルメソッド編集部監修：河合継（代表取締役）

Chrome 脆弱性修正の最新事例：Chrome 157が213件を一括対応

2026年11月3日、GoogleはChromeデスクトップ安定版（Windows/macOS：157.0.8103.38/.39、Linux：157.0.8103.38）およびAndroid版（157.0.8103.38）をリリースした。今回のアップデートで修正された脆弱性は計213件に上り、深刻度別では重大（Critical）7件、高（High）77件、中（Medium）75件、低（Low）54件という内訳となっている（Yahoo!ニュース、週刊アスキー）。

直近では2026年10月27日にもChrome 156系で重大4件を含む52件を修正したばかりだ。1週間余りで再度の大規模パッチが公開されたことは、ブラウザを標的とする攻撃面がいかに広く、継続的な監視と対処が不可欠かを示している。現時点では今回修正された脆弱性が実際の攻撃に悪用されたとの報告はないが（Yahoo!ニュース、BigGo Finance）、悪用前に修正を適用できる状態にあるこの期間をどう使うかが、企業の防御水準を直接左右する。

図：Chrome 157で修正された213件を深刻度別に示す。重大・高の合計84件が特に緊急対応を要する層であり、企業の更新判断の優先度はこの84件によって規定される。（出典：Yahoo!ニュース、BigGo Finance）

Chrome 脆弱性修正の核心：重大（Critical）7件のCVEが意味するもの

今回のChrome 脆弱性修正で最も注意が必要なのは、Critical（重大）に分類された7件のCVEである。重大とは、ユーザーの操作をほとんど要せず攻撃者がリモートから任意コードを実行できる可能性がある最高レベルの危険度を意味する。該当する7件の内訳は以下のとおりだ（PC Watch、BigGo Finance）。

CVE番号	対象コンポーネント	脆弱性の種類	攻撃経路のリスク特性
CVE-2026-121156	Dawn	バッファーオーバーフロー	GPU処理経由、任意コード実行の可能性
CVE-2026-121229	ANGLE	メモリ破壊	グラフィクスAPI変換層、クロスプラットフォームで影響
CVE-2026-121246	WebGL	解放後使用（Use-After-Free）	Webページの3D描画から直接トリガー可能
CVE-2026-121035	Prerender	解放後使用（Use-After-Free）	バックグラウンドページ先読みで無操作誘発の可能性
CVE-2026-121247	Dawn	バッファーオーバーフロー	GPU処理経由、CVE-2026-121156と同系統
CVE-2026-121203	Geometry	解放後使用（Use-After-Free）	レイアウト処理中に発火する可能性
CVE-2026-121126	Core	解放後使用（Use-After-Free）	ブラウザ根幹部位、影響範囲が最も広い

Dawn・ANGLE・WebGLはChromeのグラフィクスレンダリングを担うコンポーネントであり、Webページ上の3D描画やGPUアクセラレーションを処理するこれらのコードには外部からの入力が直接届きやすく、攻撃対象として繰り返し狙われる傾向がある。Coreの解放後使用（CVE-2026-121126）はブラウザの根幹部位に当たり、影響範囲の広さという点で特に注視が必要だ。

今回の修正に至った脆弱性の発見プロセスも注目に値する。7件のうちCVE-2026-121035は、AnthropicのXinyang Ge氏がClaude（AI）の支援を活用して報告したものだ（Yahoo!ニュース）。今回のアップデート全体では、Anthropic（Claude支援）が14件、OpenAI Codexが7件の脆弱性発見に貢献している（同出典）。AIが人間の研究者を補助する形でセキュリティ調査を加速させる動きが、主要ブラウザの品質向上に具体的に寄与し始めていることが確認できる。

次に読む：Anthropic AIはChrome脆弱性を見つけた？

AnthropicのAIがChrome・Safari脆弱性を発見——企業のAI活用セキュリティ管理

企業IT担当者が今すぐ実施すべき更新適用の手順と注意点

Chromeは通常、バックグラウンドで自動更新される。ただし更新ファイルのダウンロードが完了していても、ブラウザを再起動しなければ新バージョンは有効にならない。長期間タブを開きっぱなしにしている業務PCでは、パッチがインストール待ちのまま放置されているケースが多い。

現在のバージョンは「Chromeメニュー（⋮）→ ヘルプ → Google Chromeについて」で確認できる。Windows/macOSでは157.0.8103.38以降、Linuxでは157.0.8103.38以降が今回のパッチ適用済みバージョンだ。これより古いバージョンが表示された場合は、同画面の「更新」ボタンを押し、完了後にブラウザを再起動する必要がある。Android版はGoogle Play経由で数日以内に順次配信されるとされており、自動更新が有効であれば段階的に適用される見込みだ（週刊アスキー）。

企業環境でChromeを一元管理している場合、MDM（モバイルデバイス管理）やChrome Browser クラウド管理機能を通じてポリシーベースの強制更新が可能かどうかを確認し、全社端末への展開状況を把握することが望ましい。端末ごとのバージョン管理が曖昧な組織では、今回のような大規模パッチが出るたびに未適用端末が残存するリスクが蓄積する。

今回のアップデートではセキュリティ修正に加え、Windowsの子プロセスへセキュリティアップデートを動的に適用できる新機能、および「その他」メニューのUIデザイン刷新も含まれている（PC Watch）。動的パッチ適用機能は、次回以降の更新時にブラウザ全体を再起動しなくても一部のセキュリティ修正が反映される可能性を示唆しており、今後の運用管理フローに変化をもたらす可能性がある。

Chrome 脆弱性修正 2024年以降が示す構造的変化——AI活用と修正サイクル加速が企業に求めるもの

Chrome 脆弱性修正 2024年以降の推移を俯瞰すると、CriticalレベルのCVE修正が高頻度化していることが読み取れる。今回の213件という数字は単発の例外ではなく、ブラウザのコードベースが複雑化し、AIを含む新しいセキュリティ調査手法が浸透したことで、発見・報告される脆弱性の絶対数が増加傾向にある構造的な変化を反映していると考えられる。

AIによる脆弱性発見の貢献は、メリットとデメリットの両面を持つ。研究者が見落としていたバグをAIが効率的に発見し、悪用前に修正できる点は明確な前進だ。しかし同様のAI技術は攻撃者側にも利用可能であり、防御側と攻撃側が同一の技術基盤を持つ以上、パッチ公開後の適用スピードが組織の安全水準を直接決定する。公開情報からパッチの差分を解析し攻撃コードを生成する逆算的な手法は以前から知られており、AIの普及によってそのサイクルが短縮される可能性がある点は、企業のリスク評価に織り込んでおくべきだろう。

日本の企業においては、Windows端末の多さとChromeの高いシェアが組み合わさり、Chromeの脆弱性は業務インフラとしての露出面が特に大きい。今回のパッチが「現時点で悪用なし」という状況でリリースされている間に適用を完了できるかどうかが、次の攻撃波からの防御余地を左右する。

管理コストの観点でいえば、Chromeのエンタープライズ管理はGoogle Workspace契約に含まれるChrome Browser Cloudサービスで一定程度カバーされているが、全拠点・全端末への適用確認や例外対応には人的コストが伴う。今後パッチの頻度がさらに高まるとすれば、端末管理の自動化・一元化への投資対効果がより高まる可能性がある。重大な脆弱性が修正されていても、実際に各端末へ適用されるまでの「展開ラグ」がリスクの実体だ。今回の事例を契機に、自組織のChrome更新管理フローを点検し、展開完了の確認サイクルを明文化しておくことが実務的な対応として有効と考えられる。

参考文献

Yahoo!ニュース（2026年11月3日）：Chrome 157リリース・脆弱性修正件数・AI発見件数・悪用状況 — https://news.yahoo.co.jp/
週刊アスキー（2026年11月3日）：Chrome 157バージョン番号・Android版配信スケジュール — https://weekly.ascii.jp/
PC Watch（2026年11月3日）：重大CVE詳細・動的パッチ機能・UIデザイン変更 — https://pc.watch.impress.co.jp/
BigGo Finance（2026年11月3日）：深刻度別内訳・CVE一覧・AI発見件数 — https://finance.biggo.jp/