フォローする Googleは、既に野放しされている高深刻度のゼロデイ脆弱性に対処するための緊急Chromeセキュリティアップデートをリリースしました。CVE-2026-85046として追跡され、CVSSスケールで8.8と評価されたこの欠陥は、Google Chromeで使用されているJavaScriptおよびWebAssemblyエンジンであるV8における型の誤解による問題です。
この脆弱性を悪用することに成功すれば、リモートの攻撃者が特別に作成されたHTMLページを訪問した犠牲者のChromeサンドボックス内で任意のコードを実行できるようになります。Googleは、すでに野放しのエクスプロイトが存在することを確認しましたが、脅威のアクターや標的となった組織、および更新がまだ展開されている間の攻撃キャンペーンについての情報は公開していません。
CVE-2026-85046は、152.0.7977.82以前のChromeバージョンに影響を与えます。GoogleはWindowsおよびmacOSに対して152.0.7977.82/.83、Linuxに対して152.0.7977.82をリリースし、セキュリティアップデートはユーザーに段階的に配信されています。
この脆弱性は、2026年にGoogleが対処した6つ目のChromeゼロデイであり、以前に悪用されたCVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、CVE-2026-11645を含みます。
CVE-2026-85046の分析
更新により、合計12件のセキュリティ脆弱性が修正されました。悪用されたV8問題の他に、GoogleはCrashReporting、Network、Compositing、他のV8レースの状態、WebGL、CacheStorage、DevTools、Skiaに関連する高深刻度の弱点、および二つの中程度の脆弱性を対処しました。
V8のようなJavaScriptエンジンでは、オブジェクト型に対する誤った仮定が特に危険になることがあります。なぜなら、高度に最適化されたコンパイラパスは、配列やオブジェクトがメモリ内でどのように表現されるかについての正確な情報に依存しているからです。
セキュリティ研究者のSalvatore Gulizia、別名Serotavは、この欠陥がPACKED_ELEMENTSを含む配列が誤ってPACKED_SMI_ELEMENTSマップを受け取ることがあるV8コンパイラの動作に関与していると説明しました。そのマッチングの不一致は最終的に、JavaScriptヒープ内での任意の読み書きアクセスに変換される可能性があります。
CVE-2026-85046の最も重要な詳細は、悪用がリモートで到達可能で、既存の特権を必要とせず、悪意のあるウェブコンテンツを通じて配送可能であることです。公開されたCVSSベクトルは、ユーザーの操作が必要であることを示しており、被害者が悪意のあるページや侵害されたページを訪問する必要があります。
典型的な悪用シナリオは、ユーザーがフィッシングリンクに従うと、悪意のある広告と遭遇したり、侵害された正規のウェブサイトを訪問する可能性があります。その後、作成されたJavaScriptやHTMLコンテンツがV8の型の誤解を引き起こし、Chromeがメモリ内のオブジェクトにアクセスする際の仮定を損なう可能性があります。
結果として得られるプリミティブは Chromeサンドボックス内で任意のコード実行を可能にする
この区別は重要です：CVE-2026-85046自体は、必ずしも基礎となるオペレーティングシステムを完全に制御することを意味しません。完全なホストの侵害を目指す脅威アクターは、通常、ブラウザのコード実行に加えて、さらなるサンドボックスエスケープや特権昇格脆弱性を組み合わせる必要があります。
Googleは、ほとんどのユーザーがパッチを受け取る間、Chromiumバグレポートへのアクセスを意図的に制限しています。これは、アクティブに悪用されているChromeの脆弱性に対する標準的な手法です。というのも、完全な技術的詳細を素早く公開すると、追加の攻撃者が逆アセンブルして欠陥を武器化するのが容易になる可能性があるからです。 2026年8月4日にSalvatore GuliziaからGoogleへ報告されました。 $1,000のバグ報奨金が研究者に授与され、その欠陥は9月3日の安定版チャンネルの更新の一部として公開パッチが行われました。
The update fixes 12 security vulnerabilities in total. Besides the exploited V8 issue, Google addressed high-severity weaknesses involving CrashReporting, Network, Compositing, another V8 race condition, WebGL, CacheStorage, DevTools, and Skia, as well as two medium-severity issues.
Googleはアクティブな悪用を確認していますが、公にCVE-2026-85046のPoCをリリースしていません。根底のChromiumの問題へのアクセスも制限されたままなので、現在のところエクスプロイトを再現するための技術的情報は制限されています。
また、Googleが公開したCVE-2026-85046のキャンペーン特有のIOC（インジケータ・オブ・コンプロマイズ）も存在しません。同社は観測された攻撃に関連する悪意のあるドメイン、IPアドレス、ペイロードハッシュ、または特定のエクスプロイトインフラストラクチャを特定していません。
公開されたインジケータが存在しないため、脆弱性の露出と行動的なテレメトリーが静的な脅威インテリジェンスよりも重要です。組織は、影響を受けたブラウザバージョンを実行している任意のエンドポイントが攻撃者制御されたコンテンツを閲覧したときに露出したままであると想定するべきです。
CVE-2026-85046の緩和策
Googleは、ただちにChromeをアップグレードするよう推奨しています。
- Windowsのバージョン152.0.7977.82/.83以降に
- macOSのバージョン152.0.7977.82/.83以降に
- Linuxのバージョン152.0.7977.82以降に
ユーザーは、Chrome → ヘルプ → Google Chromeについてを開くことで、インストールされているバージョンを確認できます。 Chrome → ヘルプ → Google Chromeについてブラウザは自動的に更新を確認しますが、新しいバージョンとセキュリティ修正を有効にするにはインストール後にChromeを再起動する必要があります。
企業管理者はChromeの徐々に自動で展開される方法にのみ依存するのではなく、デプロイを検証すべきです。更新を受けたあとに再起動していない管理対象のエンドポイントは、ユーザーがChromeを再起動するまで脆弱なブラウザプロセスを実行し続ける可能性があります。
CVE-2026-85046検出はエンドポイントのインベントリから始めるべきです。セキュリティチームは、Chromeのバージョン152.0.7977.82以前を実行しているシステムを特定し、外部参照、メールリンク、ウェブ広告、その他の信頼されていないウェブコンテンツに晒されているエンドポイントを優先的に評価すべきです。
CVE-2026-85046の悪用や疑わしいブラウザ活動の検出のために、防御者は以下の要素の組み合わせを探すべきです。
- Chromeレンダラークラッシュに続く異常なプロセス活動
- Chromeプロセスツリーから開始された予期しないプロセス
- EDRまたはエンドポイント保護ツールによるブラウザの悪用アラート
- ChromeまたはV8に絡む疑わしいメモリ損壊行動
- 異常な活動の直前に新たに登録された、侵害された、または既知の悪意のあるウェブサイトへの訪問
- ブラウザセッションに続く予期しない実行可能またはスクリプト活動
- Chromeレンダラーの侵害後に第二の脆弱性を悪用しようとする試み
- 疑わしいブラウザ行動の直後に発生する新たな持続性または特権昇格活動
これらの信号はエクスプロイト固有のシグネチャではなくハンティングリードです。Googleがインザワイルドの悪用手法を公表していないためです。
組織は、疑わしいChromeイベントに関連するウェブプロキシ、DNS、EDR、およびメールセキュリティのテレメトリをレビューする必要があります。悪用は細工されたウェブコンテンツを読み込む必要があるため、最近訪問したドメインとブラウザのクラッシュまたは通常でない子プロセス活動を関連付けることで攻撃チェーンを特定するのに役立ちます。
Microsoft Edge、Brave、Opera、VivaldiなどのChromiumベースのブラウザも、V8を含むChromiumコンポーネントに依存しています。これらの製品のユーザーは、対応するChromiumセキュリティ修正を含むベンダーの更新が入手可能になったらすぐにインストールするべきです。
公開開示の前にすでに悪用が進行していたため、CVE-2026-85046の緩和策は、迅速なパッチ適用と、9月3日前に脆弱だったシステム上での疑わしいブラウザ活動の遡及的な調査の両方を含めるべきです。
FAQ
CVE-2026-85046とは何か、どのように機能するのか？
CVE-2026-85046は、ChromeのV8 JavaScriptおよびWebAssemblyエンジンにおける高深刻度の型の誤解の脆弱性です。作成されたHTMLやJavaScriptコンテンツが、V8にメモリオブジェクト型を誤って処理させ、任意の読み書き能力を作り出し、最終的には攻撃者制御のコードがブラウザサンドボックス内で実行される可能性を作ります。
CVE-2026-85046はいつ初めて発見されましたか？
セキュリティ研究者Salvatore Gulizia、別名Serotavが2026年8月4日にGoogleに報告しました。Googleは2026年9月3日にセキュリティ修正を公開し、その時点で既に野放しエクスプロイトが存在することを確認しました。
CVE-2026-85046のシステムへの影響は？
この脆弱性を悪用することに成功すれば、リモートの攻撃者がユーザーが悪意のあるウェブコンテンツを読み込んだ後にChromeのサンドボックス内で任意のコードを実行できるようになります。完全なオペレーティングシステムの侵害には、Chromeのサンドボックスを脱出可能な別の脆弱性とともにこの欠陥を連鎖させる必要があるかもしれません。
CVE-2026-85046は2026年にもまだ影響を与える可能性がありますか？
はい。152.0.7977.82より前のバージョンを実行しているすべてのChromeデスクトップインストールは依然として脆弱です。Googleは攻撃者がリアルワールドの攻撃でこの欠陥をすでに利用していることを確認しているため、そのリスクは特に緊急です。
CVE-2026-85046から自分を守る方法はありますか？
すぐにChromeを152.0.7977.82/.83以降にアップデートし、WindowsとmacOSに対応、Linuxの場合は152.0.7977.82以降にアップデートして、その後ブラウザを再起動して修正を有効にしてください。エンタープライズの防御者は、エンドポイントのバージョンを確認し、システムがパッチされた前の疑わしいブラウザ活動を調査するべきです。
