ChromeのWebGPU脆弱性は146以降で修正済み。2026年悪用5件の現状

Google Chromeの画面描画を支えるWebGPU実装「Dawn」には、バージョン146.0.7680.178より前にuse-after-free（解放済みのメモリを使い続けてしまう欠陥）の脆弱性 CVE-2026-5281 があり、実際の攻撃への悪用も確認されています。修正版は2026年3月31日公開のChrome 146.0.7680.177/.178。現在の安定版は150系まで進んでいるため、ブラウザを普段どおり更新（と再起動）していれば追加の対応は不要です。バージョンが146.0.7680.177より古いまま止まっている場合だけ、今すぐ更新が必要です。

この脆弱性は、2026年に悪用が確認されたChromeゼロデイの4件目でした。悪用確認の翌日には米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）がKEV（実際に攻撃されている脆弱性のリスト）へ追加し、連邦政府機関に2026年4月15日までのパッチ適用を命じました。この期限もすでに3ヶ月以上前に過ぎています。さらに6月には5件目となるCVE-2026-11645（V8の境界外読み書き）が修正され、2026年7月23日時点で今年の悪用済みChromeゼロデイは計5件。攻撃対象がCSS処理、2D描画、JavaScriptエンジン、GPU描画と、毎回異なる部品へ移っているのが今年の特徴です。

Chromeのゼロデイを踏ませる側の事情

2026年前半だけで5件という頻度は事故ではなく、特定の買い手にとってChromeのゼロデイが単価数百万ドルの「商品」として成立し続けているという市場の話です。

こうしたChromeのゼロデイを実際に手に持っているのは、論文を発表したい研究者でも趣味のハッカーでもなく、もっと予算規模の桁が違う顔ぶれです。各国の情報機関に雇われたサイバースパイ部隊、ジャーナリストや反体制活動家を追跡する独裁国家の諜報員、上場企業の決算前情報やM&A;資料を狙う産業スパイ、ランサムウェア集団に「侵入済み企業へのアクセス」を卸す初期アクセスブローカーが買い手の中心です。彼らがChromeに穴を開けて取りに来るのは、Gmail/Google Workspace の下書きと共有ドライブ、ブラウザのパスワードマネージャに溜まった社内システムへの資格情報、Cookieに残ったSaaS管理画面のセッション、Google認証で繋がっている取引先のSlack・Notion・GitHubへの足場、そして仕事用PCに同期された顧客名簿と財務資料です。細工されたWebページを開いた1秒の裏で、レンダラープロセス→Dawnのuse-after-free→サンドボックス脱出→OS到達という攻撃チェーンが、このCVE一本で開通します。

セキュリティ業界では、ブラウザのゼロデイは攻撃チェーンの最初の一手「初期侵入ベクター（Initial Access Vector）」として扱われます。WebGPU/Dawn のように新しめでレビューの目が薄いコードベースが狙われ続けているのは、攻撃側が「人手と監査が間に合っていない領域」を意図的に選んでいるからです。レンダラー侵害からDawnの解放済みオブジェクト参照を経由するサンドボックスエスケープのチェーンは、商用エクスプロイトベンダーの間で数百万ドル単位で取引される高価な部品で、買い手は基本的に各国政府かその委託先（NSO GroupやIntellexa等）です。CISAが連邦政府機関にKEV追加から2週間という極端に短い期限を切った事実は、想定している攻撃者層が国家アクタークラスであることを暗に示しています。

数字としてのCVSS 8.8 は技術的な目盛りに過ぎず、企業や行政機関のChrome利用者が現実に失うのはブラウザ単体のクラッシュではなく、業務アカウントへのログインセッション、社内システムへの足場、顧客データ全体への入口を、自覚のないまま国家規模のスパイ集団へ譲り渡してしまうことです。

CVE-2026-5281の概要

NVD（米国脆弱性情報データベース）の記載によると、CVE-2026-5281は「Chrome 146.0.7680.178より前のバージョンにおけるDawnのuse-after-free。レンダラープロセスを侵害した攻撃者が、細工されたHTMLページを介して任意のコード実行が可能」とされています。

Googleは公開当時、「CVE-2026-5281のエクスプロイトが野生に存在することを認識している」と認めたうえで、「大多数のユーザーがアップデートを適用するまで、技術的な詳細は制限する」としました。この安定版アップデートでは、CVE-2026-5281を含む合計21件の脆弱性が修正されています（19件がHIGH、2件がMEDIUM）。なお、誰がどんな標的に対してこの穴を使ったのか——攻撃キャンペーンの詳細や攻撃者の正体は、2026年7月23日時点でも公表されておらず、技術詳細は制限されたままです。

影響範囲はChromeだけではなかった

CVE-2026-5281はChromiumのコンポーネントに存在するため、Chromeだけでなく全てのChromiumベースブラウザが影響を受けました。世界のデスクトップブラウザ市場の約65%を占めるChromeを筆頭に、Microsoft Edge、Brave、Opera、Vivaldiなどが対象です。

速報時点ではEdge・Brave・Operaの対応状況が確認できませんでしたが、現在は各Chromium系ブラウザとも146を大きく超える150系ベースへ移行済みで、最新版を使っている限りこの脆弱性の影響は受けません（各社の個別のセキュリティ情報でCVE-2026-5281への言及は確認できていませんが、ベースのChromiumが修正済みバージョンです）。「自分はChromeではなくEdgeを使っているから無関係」ではなく、Edgeも内部ではChromiumのDawnを使用しています。長期間更新していない環境では、各ブラウザの「バージョン情報」画面で確認してください。

Chromeのバージョンを確認する方法

Chromeのアップデートは自動で配信されますが、適用にはブラウザの再起動が必要です。長期間ブラウザを開きっぱなしにしている場合や、業務端末で更新を止めている場合、パッチが当たっていない状態で使い続けている可能性があります。手動での確認手順は以下のとおりです。

1. Chromeのアドレスバーに chrome://settings/help と入力してアクセスします。

2. 「Google Chromeについて」画面が表示され、自動でアップデートの確認が始まります。

3. バージョン番号が 146.0.7680.177 以上であれば、この脆弱性は対策済みです。2026年7月23日時点の安定版は150系（150.0.7871.181/.182など）まで進んでいるため、自動更新が正常に働いていれば通常この条件は満たしています。「再起動」ボタンが表示されている場合はクリックして最新版を適用してください。

CISAが連邦機関に課した適用期限は2026年4月15日で、すでに3ヶ月以上前に過ぎています。この期限は民間企業に法的拘束力を持ちませんが、「悪用が確認された脆弱性をどれだけ早く塞ぐべきか」の指標として広く参照されているものです。公開から4ヶ月近く経った今も146.0.7680.177より古いバージョンで止まっている端末があるなら、それは悪用実績のある穴を開けたまま使い続けている状態なので、早急に更新してください。

2026年の悪用済みChromeゼロデイを振り返る

2026年は7月23日までに、Chromeのゼロデイ脆弱性が5件、実際の攻撃に使われました。CVE-2026-5281はその4件目にあたり、約2ヶ月後の6月には5件目となるCVE-2026-11645が修正されています。2025年の通年では8件だったため、半年で5件という2026年のペースは前年を上回っています。

← スワイプで移動

5件に共通するのは、いずれもCVSSスコアが8.8（HIGH）前後と高い深刻度であること、そして攻撃面が毎回異なるコンポーネントに移っていることです。CSS処理、2D描画、JavaScriptエンジン、GPU描画エンジンと、Chromiumの広範な領域が標的になっています。

WebGPUが攻撃面になる理由

今回の脆弱性を理解するには、「Dawn」と「WebGPU」の関係を知る必要があります。

WebGPUは、Webブラウザからデバイスのグラフィックス処理装置（GPU）に直接アクセスするための新しいAPI規格です。従来のWebGL（2011年〜）よりも低レベルなGPU制御が可能で、3Dグラフィックスや機械学習の推論処理をブラウザ上で高速に実行できます。Dawnは、このWebGPU規格をChromium向けに実装したオープンソースのライブラリです。

問題は、GPUリソースの管理が本質的に複雑であることです。CVEReportsの分析によると、CVE-2026-5281の根本原因はDawnのコマンドバッファキュー管理におけるレースコンディション（競合状態）です。JavaScript側からGPUにコマンドバッファが送信され、破棄されるまでの間に、バッファオブジェクトのライフサイクルとGPUタスクキューの処理状態の同期が取れなくなる。その結果、解放済みメモリを指すダングリングポインタが残り、攻撃者がそのメモリ領域を任意のデータで上書きできるようになります。

攻撃は2段階で進みます。まず別の脆弱性でブラウザのレンダラープロセス（Webページの描画を担当するプロセス）を侵害し、次にこのDawnのバグを利用してブラウザのサンドボックスを脱出、ホストOSレベルでの任意コード実行に到達します。

厄介なのは、修正版アップデートでDawn関連の脆弱性が3件同時に修正されている点です。CVE-2026-5281のほかに、CVE-2026-4676（Dawnのuse-after-free）とCVE-2026-5284（同じくDawnのuse-after-free）が含まれています。いずれも同一の匿名研究者 86ac1f1587b71893ed2ad792cd7dde32 が報告したもので、Help Net Securityの報道によると、この研究者はWebGL関連のヒープバッファオーバーフロー（CVE-2026-4675）も同時に報告しています。WebGPUとWebGLのグラフィックス関連コンポーネントに集中的にバグが見つかっていることがわかります。

Chromeのゼロデイが頻発する構造的な理由

2026年の5件のうち、V8の「不適切な実装」に分類されるCVE-2026-3910を除く4件は、メモリの扱いを誤るタイプのバグです（イテレータ無効化・境界外書き込み・use-after-free・境界外読み書き）。これは偶然ではありません。

Chromiumは主にC++で書かれており、メモリ管理はプログラマーの責任です。Googleは過去に「Chromiumのセキュリティバグの約70%がメモリ安全性の問題に起因する」という分析結果を公表しています。use-after-freeはその代表的なパターンです。

この問題に対し、Googleは2つのアプローチで対策を進めています。ひとつはC++のスマートポインタ機構「MiraclePtr」の導入で、use-after-freeを検出してクラッシュさせることで攻撃の成立を防ぎます。もうひとつはChromiumコードベースへRust言語を徐々に導入していく取り組みで、メモリ安全性をコンパイル時に保証する方向性です。

しかし、DawnのようなGPU関連コンポーネントはまだ比較的新しく、コードの成熟度がV8やBlinkに比べて低い状態です。WebGPUの仕様自体が2023年にようやく安定版として出荷されたばかりであり、攻撃者にとっては「まだバグが多く残っている可能性が高い新しい攻撃面」として映るのは自然なことです。

PCQuestはこの状況を「ブラウザセキュリティのより大きな問題を明らかにしている」と評しています。攻撃面が多角化しているということは、ひとつのコンポーネントを堅牢にしても、別のコンポーネントが狙われる「もぐら叩き」の状態にあるということです。実際、CVE-2026-5281の2ヶ月後には再びV8で5件目（CVE-2026-11645）が悪用されました。根本的な解決には、C++からメモリ安全な言語への移行を加速するか、あるいはサンドボックスの多重化でゼロデイの影響範囲を限定するしかありません。

まとめ

CVE-2026-5281は、WebGPU実装Dawnのuse-after-freeで、レンダラープロセスを侵害した攻撃者に任意のコード実行を許す脆弱性です。実際の攻撃への悪用が確認され、Chrome、Edge、Brave、Vivaldi、OperaなどChromiumベースのブラウザ全体が影響を受けましたが、2026年3月31日公開のChrome 146.0.7680.177/.178で修正済みです。

2026年7月23日時点の安定版は150系まで進んでおり、普段どおり自動更新とブラウザの再起動をしていれば、この脆弱性について追加の対応は要りません。長期間再起動していないPCや更新を止めている業務端末だけは、chrome://settings/help（または各ブラウザの対応ページ）でバージョンが 146.0.7680.177 以上、できれば最新の150系になっているか確認してください。

2026年の悪用済みゼロデイ5件は、CSSからSkia、V8、WebGPUへと攻撃面が広がっていることを示しています。今後も同種のゼロデイは繰り返し出るとみるべきで、ブラウザのアップデートを「通知が来たらそのうち」ではなく「セキュリティニュースを見たら即確認」にしておくことが、いちばん確実な守りになります。

参照元

• ▸ Google Chrome Releases - Stable Channel Update for Desktop（2026年3月31日）
• ▸ NVD - CVE-2026-5281 Detail（2026年4月1日）
• ▸ CISA - Known Exploited Vulnerabilities Catalog（2026年4月1日追加）
• ▸ BleepingComputer - Google fixes fourth Chrome zero-day exploited in attacks in 2026（2026年4月1日）
• ▸ Help Net Security - Google fixes Chrome zero-day with in-the-wild exploit (CVE-2026-5281)（2026年4月1日）
• ▸ SecurityAffairs - Google fixes fourth actively exploited Chrome zero-day of 2026（2026年4月1日）
• ▸ BleepingComputer - Google patches fifth Chrome zero-day bug exploited in attacks this year（CVE-2026-11645）（2026年6月）
• ▸ Google Chrome Releases - Stable Channel Update for Desktop（CVE-2026-11645修正）（2026年6月）
• ▸ UpdateStar News - Chrome 150.0.7871.181/182 patches 12 high-severity security flaws（2026年7月）
• ▸ CVEReports - CVE-2026-5281: High-Severity Use-After-Free in Dawn WebGPU Implementation
• ▸ PCQuest - Chrome's fourth zero-day of 2026 reveals a bigger browser security problem
• ▸ Chromium - Memory Safety