この記事でわかること
- Googleが悪用コードの存在を認めた脆弱性「CVE-2026-125350」の中身
- 自分のChromeが修正済みかを見分けるバージョン番号（パソコン・Android・会社の管理端末）
- 今すぐ更新を受け取る手順と、再起動が欠かせない理由
Chromeにゼロデイ脆弱性、Googleが悪用コードの存在を確認
Googleは米国時間の2026年11月9日、公式ブログ「Chrome Releases」で、パソコン向けGoogle Chromeの安定版を157.0.8103.50／157.0.8103.51へ更新しました。修正されたセキュリティ問題は9件。このうちXMLの処理部分にある脆弱性「CVE-2026-125350」について、Googleは悪用するためのコード（エクスプロイト）が実際に存在することを把握していると明記しています。
修正が届く前から攻撃に使われうる脆弱性は「ゼロデイ脆弱性」と呼ばれます。どこで誰が狙われたのか、Googleは明らかにしていません。それでも、開発元自身が悪用コードの存在を認めた脆弱性です。自動更新が届くのを待つより、いま自分で確認して済ませてしまうほうが確実です。
CVE-2026-125350はXML処理の「解放後使用」、深刻度はHigh
CVE-2026-125350は、ChromeがXMLを処理する部分にある「解放後使用（Use after free）」の脆弱性です。XMLは、Webでデータをやり取りするときによく使われる書式のひとつ。解放後使用は、プログラムが使い終えて手放したメモリを誤ってもう一度使ってしまう不具合で、条件によってはメモリが壊れ、攻撃の足がかりになることがあります。
Googleが付ける深刻度は4段階のうち上から2番目の「High」です。匿名の報告者から11月6日に届いた報告で、修正版はその3日後に出ました。Googleは多くの利用者に修正が行き渡るまでバグの詳細を非公開にすることがあるとしており、今回も技術的な詳細は公表されていません。
同じ更新では、XML処理のもう1件の解放後使用（CVE-2026-125346）や、JavaScriptを動かすV8エンジンの型の取り違え（CVE-2026-125344）なども直っています。9件の内訳はHighが7件、Mediumが2件で、最も深刻な「Critical」はありません。Googleが悪用に触れているのは、CVE-2026-125350だけです。
修正済みのバージョンは利用環境ごとに確認
修正版のバージョンは、利用環境ごとに次のとおりです。
| 利用環境 | 修正済みのバージョン |
|---|---|
| Windows・Mac（通常の安定版） | 157.0.8103.50／157.0.8103.51 |
| Linux（通常の安定版） | 157.0.8103.50 |
| Windows・Mac（拡張安定版） | 156.0.8078.96 |
| Android | 157.0.8103.50 |
WindowsとMacは公式発表で2つの番号が併記されており、どちらが表示されていても修正済みです。配布は数日から数週間かけて順番に進みます。
11月3日のChrome 157公開時に157.0.8103.38／157.0.8103.39へ更新していても、今回の修正は入っていません。修正済みかどうかは、表のうち自分のOSと配布経路に当たる行を選び、表示されたバージョン番号を最後の数字まで全体で見比べて判断します。Chrome 157の最初の公開は、Chrome 157公開時の記事で取り上げています。
会社や学校が管理するパソコンでは、更新の間隔が長い「拡張安定版（Extended Stable）」が使われていることがあります。同じ日に公開された拡張安定版の告知にもCVE-2026-125350が含まれており、Windows・Mac向けの156.0.8078.96が修正版です。管理対象のパソコンは配布のタイミングが管理者の設定で決まるため、気になる場合は管理者に確認してください。
Android版のChromeも同じ日に157.0.8103.50が公開されました。Googleの告知によると、パソコン版と同じセキュリティ修正を含み、Google Playで数日かけて配布されます。iPhone・iPad版については、今回のGoogleの告知に記載はありません。
Chromeを今すぐ更新する手順
WindowsとMacでは、確認用の画面を開くとChromeがその場で更新を探し、新しい版があればダウンロードを始めます。
- Chromeの右上にある［︙］をクリックする
- ［ヘルプ］→［Google Chrome について］を選ぶ
- 表示された「Chrome について」の画面で、バージョン番号を確認する
- ダウンロードが終わり［再起動］ボタンが表示されたら、クリックしてChromeを再起動する
ダウンロードが終わっただけでは、修正はまだ反映されていません。Chromeを開きっぱなしにしていると、古い版のまま動き続けます。書きかけのメールやフォームがあれば、保存や送信を済ませてから再起動してください。
Linuxでは、この画面はバージョンの確認に使います。Googleのヘルプは、LinuxのChromeをパッケージマネージャーで更新するよう案内しています。OSの更新機能やパッケージ管理ツールで更新したら、Chromeを開き直して番号を確かめてください。
Androidでは、Google Playで「Google Chrome」のページを開き、［更新］が表示されていればタップします。バージョンは、Chromeの［︙］→［設定］→［Chrome について］で確認できます。
更新後の番号が、表のうち自分の利用環境に当たる行の番号と一致していれば、今回の修正は適用済みです。更新が見つからないときは、段階配布がまだ届いていない可能性があります。少し時間を置いて、同じ方法で確認し直してください。
