Chrome／EdgeのV8ゼロデイ脆弱性まとめ、最新版なら対処不要

世界で最も使われているブラウザGoogle Chromeは、心臓部のエンジン「V8」に実際の攻撃に使われた深刻な欠陥（情報セキュリティ上の弱点）を抱えていました。共通の管理番号はCVE-2026-11645。この欠陥は2026年6月8日公開のChrome 149.0.7827.102／.103で修正済みで、それ以降のバージョン（現行の150系を含む）を使っていれば対処は不要です。逆に149.0.7827.102より古いChromeは、罠を仕掛けたWebページを開いてしまうだけで、攻撃者の用意したプログラムが端末上で動き出す恐れがあります。

Chromeと同じ土台（Chromium）で作られたMicrosoft EdgeやBrave、Operaなども同じ欠陥を抱えていました。Edgeは149.0.4022.69（2026年6月16日頃配信）で修正済みで、各ブラウザとも最新版なら問題ありません。

これは、修正が間に合う前に攻撃へ悪用された欠陥、いわゆる「ゼロデイ」でした。しかも2026年に入って5件目。Googleは「この欠陥を突く攻撃が出回っていることを把握している」と認め、米国土安全保障省のCISAも2026年6月9日、本件を「実際に攻撃されている脆弱性リスト（KEV）」に登録しています。一方、修正版の公開から1ヶ月半が経った2026年7月23日時点で、悪用中の新たなChromeゼロデイは報告されておらず、本件が2026年の直近の1件のままです。

自分のブラウザが修正済みか確認するには

今回の欠陥は、Chromeが149.0.7827.102／.103（パソコン版）以降なら塞がっています。Chromeは自動更新が標準なので、普段どおり使っていれば現行の150系（2026年7月21日には150.0.7871.181／.182が公開）まで上がっているはずです。確認するには、Chromeの画面右上にある「︙」（縦三点）から「ヘルプ」→「Google Chrome について」を開きます。バージョンが表示され、更新が残っていれば自動で取り込みが始まります。更新が走ったら必ず「再起動」を押して反映させてください。ダウンロードしただけで再起動していないと、古いまま使い続けることになります。

修正版の配信はすでに完了しています。いま気をつけるべきは、長い間起動していないパソコンや、自動更新を止めている環境です。久しぶりに開いたChromeは古いバージョンのまま動き出すので、まず「Chromeについて」で更新と再起動を済ませてから使ってください。会社で多数のパソコンを管理している場合は、IT部門が未更新の端末が残っていないかを棚卸しするのが確実です。なお、iPhoneのChromeは中身がAppleの仕組み（WebKit）で動いており、今回のV8の欠陥の直接の対象ではありませんが、OS全体を最新に保つことはいずれにしても大切です。

何が起きるのか。罠サイトを開くだけで危ない理由

この欠陥があったのは、Chromeの心臓部にあたる「V8」という部品です。V8は、Webページに書かれたプログラム（JavaScript）を高速に実行するためのエンジンで、ほぼすべてのサイト表示で動いています。CVE-2026-11645は、このV8が本来触ってはいけないメモリの範囲を読み書きしてしまうたぐいの不具合です。技術的な分類は「範囲外の読み取り（CWE-125）」と「範囲外の書き込み（CWE-787）」で、危険度の指標は10点満点中8.8と高く付けられています。

怖いのは攻撃の手軽さです。NVD（米国の脆弱性データベース）の説明によれば、攻撃者が細工したHTMLページ（つまり普通のWebページ）を開かせるだけで、Chromeの内部で攻撃者のプログラムを実行できます。怪しいファイルをダウンロードする必要も、何かをインストールする必要もありません。広告や乗っ取られた正規サイト、メールやSNSのリンクから誘導されたページを開いた瞬間に成立し得ます。Chromeには被害を閉じ込める「サンドボックス（隔離の囲い）」という安全装置がありますが、こうしたメモリの欠陥は、その囲いを破るための足がかりに使われることが知られています。

そして本件は「ゼロデイ」、つまり修正が用意される前から攻撃に使われていた欠陥です。Googleは攻撃が出回っていることを認めた一方、悪用の詳しい手口や攻撃者については公表しておらず、修正版の公開から1ヶ月半が経った2026年7月23日時点でも続報はありません。詳細を出すと未更新の人を狙う別の攻撃者を増やしてしまうため、公表を控えるのはChromeの通常の対応です。裏を返せば、いまだに更新していない端末は、すでに攻撃者に知られている手口でいつ狙われてもおかしくないということです。

この欠陥を、どんな人が、何のために狙うのか

「ブラウザの不具合くらいで大げさな」と思うかもしれません。けれど、ブラウザは今や私たちが仕事もお金も人間関係も預けている場所です。ネットバンキング、会社のメールや業務システム、SNS、ショッピング、保存したパスワード——その入り口がChromeです。罠ページを開いただけでそのChromeの内部に入り込めるという欠陥は、攻撃者にとって万能の合鍵に近い価値を持ちます。本件で実際に攻撃が出回ったという事実は、その価値を狙う者が現に動いていたことを意味します。

狙ってくるのは抽象的な「ハッカー」ではありません。具体的には、特定の人物の端末に密かに監視ツールを仕込みたい国家支援のスパイ集団、記者・活動家・経営者を標的に通信や位置情報を抜き取る監視ベンダー、ログインの保存情報やクッキーを盗んで口座やアカウントを乗っ取る金銭目的の犯罪グループ、そして盗んだ侵入経路を裏で売りさばく業者です。彼らが欲しがるのは、保存されたパスワードとログイン状態、ネットバンキングの操作画面、業務のやり取り、そして連絡先や撮りためた写真です。細工されたページをChromeで開いた瞬間、上に挙げたものへ手を伸ばす最初の一歩が、攻撃者の側に渡ってしまいます。

ゼロデイがとりわけ厄介なのは、最初の標的が「ピンポイントの誰か」であることが多い点です。実際に攻撃へ使われるゼロデイの多くは、まず特定の重要人物を狙った高度な攻撃で使われ、その後に手口が広まって一般の利用者にも降りてきます。つまり今回も、今は限られた標的への攻撃でも、手口が出回れば、普段どおりニュースサイトや動画を見ているだけの一般の人にまで、罠広告や乗っ取られたサイト経由で被害が広がっていく恐れがあります。

そして、被害を背負うのは特別な誰かではなく、更新を後回しにしたごく普通の利用者です。口座からの不正送金、なりすましによるSNSの乗っ取り、会社の情報の持ち出し、家族の写真や連絡先の流出——危険度8.8という数字は技術的な深刻さの目安にすぎず、罠ページひとつで現実に失われるのは、こうした生活と仕事そのものです。更新は数分で終わります。その数分を惜しむかどうかが、踏まれる側になるかどうかの分かれ目です。

2026年5件目。なぜブラウザの心臓部は繰り返し狙われるのか

CVE-2026-11645は、2026年にGoogleが修正した5件目の悪用済みChromeゼロデイです。海外メディアはこの状況を「もぐら叩き」と表現しています。直前の4件目でも攻撃に使われていた欠陥を緊急で塞いだばかりで、短い間隔で同じことが繰り返されていました。今回の欠陥は2026年4月下旬に匿名の研究者から報告され、責任ある開示に対して5万5,000ドル（約860万円）の報奨金が支払われたと報じられています。

なぜV8のような部品が繰り返し標的になるのでしょうか。理由は単純で、世界中のほぼ全員が、毎日、無防備にそこへコードを流し込んでいるからです。Webページを開くたびに、そのページのJavaScriptがV8で実行されます。攻撃者から見れば、V8の弱点を1つ握るだけで、相手にメールを送る必要も、ファイルを開かせる必要もなく、「ページを見せる」だけで端末に手を伸ばせます。これほど広く・確実に届く攻撃面は他になく、だからこそ高額な報奨金が動き、攻撃側もそこに資源を集中させます。ブラウザの安全装置（サンドボックス）が年々強くなる一方で、それを破る欠陥の発見も続く、というせめぎ合いが「もぐら叩き」の正体です。

公開から修正までの流れ

← スワイプで移動

危険度をどう見るか。2026年7月23日時点の整理

攻撃の詳細も被害の規模も公表されないまま、修正の配信だけが先に完了した形です。最新版のChromeやEdgeを使っている人にとって、この欠陥はもう塞がれた穴です。残るリスクは、長い間更新していない端末や自動更新を止めた環境に集中しています。ページを開くだけで成立し得る攻撃だった以上、未更新の端末を使い続けるのは、鍵の壊れたドアを放置するのと同じです。

いま確認しておくべきこと

家庭でも職場でも、確認はシンプルです。

• Chromeの「︙」→「ヘルプ」→「Google Chrome について」を開き、149.0.7827.102以降（普段どおり自動更新されていれば現行の150系）になっているか確認する。古ければ更新し、必ず「再起動」を押す
• Androidのスマホは、Playストアで「Chrome」が最新になっているか確認する（修正版は配信済み）
• Edgeは149.0.4022.69以降なら修正済み。Brave・Opera・Vivaldiなど他のChromium系ブラウザも、最新版にしておけば問題ない
• 会社で多数の端末を使っている場合は、IT部門が未更新の端末が残っていないかを確認する
• 長い間起動していなかったパソコンは、使い始める前にまずブラウザの更新と再起動を済ませる

特に、ネットバンキングや会社の業務システムを使う端末は優先して確認してください。今回の攻撃はファイルを開かせる必要すらなく、ページを表示させるだけで成立し得たため、「怪しいファイルは開かないから大丈夫」という従来の心構えだけでは防げないタイプでした。守りの基本は、修正が出たら素早く最新版へ上げておくこと。ブラウザの自動更新を有効にしたままにしておくのが、その一番簡単な形です。

よくある質問

まとめ

CVE-2026-11645は、世界で最も使われているブラウザGoogle Chromeの心臓部V8にあった、実際の攻撃に悪用されたゼロデイです。細工したWebページを開かせるだけで端末上で攻撃者のプログラムが動き得る深刻な欠陥で、危険度は8.8。2026年6月8日公開のChrome 149.0.7827.102/.103で修正され、同じ欠陥を抱えていたMicrosoft Edgeも149.0.4022.69で修正済みです。米CISAは6月9日、実際に攻撃されている脆弱性リスト（KEV）に登録しました。2026年に入って5件目のChromeゼロデイでしたが、修正から1ヶ月半が経った7月23日時点で6件目は出ていません。

いまChromeやEdgeを最新版で使っている人にとって、この欠陥は塞がれた穴です。確認するなら「Chromeについて」を開くだけ。149.0.7827.102以降（普段どおりなら現行の150系）になっていれば対処は不要です。気をつけるべきは、長い間起動していない端末と自動更新を止めた環境だけ。ページを見ただけで成立し得た攻撃である以上、「怪しいものは触らない」という心構えより、自動更新を生かして最新版を保つことが一番の守りです。

参照元

• ▸NVD - CVE-2026-11645（V8の範囲外読み書き、CVSS 8.8）
• ▸Help Net Security - Google patches Chrome zero-day exploited in the wild
• ▸SecurityWeek - Google Patches 5th Chrome Zero-Day Exploited in 2026
• ▸BleepingComputer - Google patches fifth Chrome zero-day exploited this year
• ▸The Register - Chrome's zero-day Whac-A-Mole continues
• ▸GovCERT.HK - Microsoft Edge Multiple Vulnerabilities（Edge 149.0.4022.69での修正）
• ▸Chrome Releases - Stable Channel Update（2026年7月・150系の更新）
• ▸CWE-125: 範囲外の読み取り ／ CWE-787: 範囲外の書き込み