CVE-2026-125350: Chrome XML ゼロデイが野外で悪用される

Googleは、CVE-2026-125350に対処する緊急のセキュリティアップデートをリリースしました。これは、Google ChromeのXMLコンポーネントにおける重大なゼロデイ脆弱性で、実世界の攻撃で既に悪用されています。この問題は、解放後使用のメモリ安全性の欠陥として分類され、2026年11月6日に匿名でGoogleに報告されました。

Googleは11月9日に、この脆弱性のエクスプロイトがすでに存在することを確認しました。しかし、攻撃者がどのようにエクスプロイトを配信しているのか、どの組織や個人がターゲットにされているのか、またはこの脆弱性が他のブラウザやサンドボックスエスケープの欠陥と連携しているかどうかについては公開しませんでした。基礎となるChromiumのバグへのアクセスは、ユーザーがセキュリティアップデートを展開するまで制限されたままです。

修正は、WindowsとmacOS用のChrome Stable 157.0.8103.50/.51およびLinux用の157.0.8103.50に含まれています。Googleは同じ脆弱性に対する修正を含むWindowsとmacOS用のExtended Stable 156.0.8078.96もリリースしました。

営業へのお問い合わせ

CVE-2026-125350は、2026年に実世界で悪用されたことが知られている8番目のChromeゼロデイです。これに続いてCVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、CVE-2026-11645、CVE-2026-85046、CVE-2026-87491があります。2026年11月10日時点で、SecurityWeekによるとCISAはまだ公開されたこの欠陥を既知の悪用された脆弱性のカタログに追加していません。

解放後使用の脆弱性は、ソフトウェアがメモリを解放した後にそのメモリを参照し続けるときに発生します。影響を受けるコードとエクスプロイト手法に応じて、こうしたメモリ破損はブラウザのクラッシュ、データ破損、または攻撃者が制御するコードの実行を引き起こす可能性があります。Googleは観測された攻撃でどのような影響が達成されたのか正確には公開していないので、防御側は公開された完全なシステムコンプロマイズチェーンがすでに存在すると考えることは避けるべきです。

セキュリティチームは、SOC PrimeのAIネイティブな検出インテリジェンスプラットフォームを使用して、ブラウザのエクスプロイト、疑わしい子プロセス、ペイロードの実行、およびSIEM、EDR、XDR、データレイク環境における後続の攻撃者の行動に対する検出カバレッジを強化します。

CVE-2026-125350を検出するには、ブラウザバージョンのインベントリをエンドポイントとネットワークテレメトリと組み合わせて、Chromeによって起動された疑わしいプロセス、異常なブラウザのクラッシュ、予期しないペイロードのダウンロード、または潜在的に悪意のあるウェブサイトへの訪問後に発生するポストエクスプロイトの行動を監視します。

すべてのCVEに対して検出コンテンツが利用できるわけではありません。SOC Primeプラットフォームで現在のカバレッジを確認してください。関連する検出がまだ利用可能でない場合は、新しい脅威インテリジェンスと検出コンテンツが継続的に追加されるため、再度確認してください。

CVE-2026-125350の分析

CVE-2026-125350は影響します ブラウザのXMLコンポーネントの解放後使用の条件を含む脆弱なGoogle Chromeリリース。Googleはこの脆弱性を高い深刻度と評価していますが、11月9日のアドバイザリーではCVSSスコアやベクトルを公開していません。

解放後使用は、メモリが解放された後にソフトウェアが同じメモリ位置にアクセスしようとすると発生します。攻撃者がその後にそのメモリに配置されるコンテンツに影響を与えることができると、古い参照が操作されてプログラムの動作を変更する可能性があります。

ウェブブラウザでは、攻撃者が制御するコンテンツが通常、複雑なブラウザコンポーネントによって処理されるため、メモリ安全性の脆弱性は特に重要です。しかし、Googleはまだ関与する具体的なXMLオブジェクトやバグを引き起こすためのシーケンス、あるいは攻撃者が使用する特定のウェブコンテンツを公開していません。

脆弱性に関連するChromiumの問題は現在制限されています。Googleは通常、ユーザーの過半数がパッチを受け取るまで技術的なバグの詳細へのアクセスを制限しており、サードパーティソフトウェアにも欠陥が存在する場合は制限が長くなることがあります。

その結果、いくつかの重要な技術的詳細は未知のままです。利用が単に悪意あるページを訪問することによって、特別に作成されたXMLコンテンツを開くことによって、ページとやり取りすることによって、あるいは別の配信メカニズムによっているのかも確認されていません。また、攻撃者がChromeレンダラー内部でコード実行を達成しているのか、ブラウザサンドボックスをエスケープしているのか、別の欠陥と結合しているのかも確認されていません。

The Hacker Newsは、解放後使用のバグがデータの破損、クラッシュ、または任意のコード実行を引き起こす可能性があることを指摘しています。これは、この脆弱性クラスの一般的なセキュリティ影響を説明しているものであり、CVE-2026-125350に対して使用された正確なエクスプロイトチェーンのGoogleによる説明ではありません。

それにもかかわらず、Googleの声明は重要です。なぜなら、同社が野生のエクスプロイトの存在を明言するためです。これは、攻撃に関する技術情報が限られているとはいえ、この脆弱性が即座のパッチ適用の優先事項として扱われるべきであることを意味します。

この脆弱性は、2026年11月6日に匿名でGoogleに報告されました。わずか3日後の11月9日、GoogleはWindows、macOS、Linux用の修正されたStableビルドをリリースし、活発な悪用を認めました。

ゼロデイ修正を含むアップデートは合計9つのセキュリティ問題に対処しています。他の重大な欠陥には、WebGLの未初期化リソース問題、FileSystemでの不適切な認可、Compositingでのバッファオーバーフロー、GPUでの境界外書き込み、V8での型混同の脆弱性、およびCVE-2026-125346として追跡されるXMLでのもう一つの解放後使用の問題が含まれます。中程度の深刻度のGPU脆弱性も2件修正されました。

同じリリース内でのCVE-2026-125346の存在は、活発に悪用された脆弱性とは違うと見分ける価値があります。両方の問題はChromeのXML機能における解放後使用の条件に関与していますが、GoogleはCVE-2026-125350のみが実世界で悪用されていると述べています。

Googleは以下の修正されたStableバージョンをリリースしました：

プラットフォーム	修正されたChrome Stableバージョン
Windows	157.0.8103.50/.51
macOS	157.0.8103.50/.51
Linux	157.0.8103.50

Extended StableユーザーはWindowsおよびmacOSでバージョン156.0.8078.96以降に移行すべきです。

Chromeの更新は段階的に展開されるため、インストールされたブラウザがすぐにパッチ版を受け取るわけではありません。したがって、ユーザーと管理者は自動更新が既に問題を解決していると仮定するのではなく、実際の実行ビルドを確認する必要があります。

CVE-2026-125350のPoC状況も注意が必要です。Googleは攻撃者が実用的なエクスプロイトを持っていることを確認していますが、Googleや提供された2件のレポートは、エクスプロイトを再現する公開された概念実証が特定されていません。Chromiumのバグ詳細は制限されたままであり、防御者が脆弱性を再現したり、エクスプロイト固有のアーティファクトを特定する能力を制限しています。

CVE-2026-125350の検出については、組織はエクスポージャーマネジメントから始めるべきです。セキュリティチームは、エンドポイント間でChromeバージョンをインベントリし、修正されたリリースより古いビルドを実行しているシステムを特定する必要があります。インターネットに接続されたサーバーは主な関心事ではなく、社員のワークステーションやウェブブラウジングに使用される他のシステムが直ちに注目を集めるべきです。

エンドポイントテレメトリは、さらなるハンティングの機会を提供できます。防御者は、特にChromeから発生する不審なプロセスを調査する必要があります。特にコマンドインタプリタ、スクリプトエンジン、システムユーティリティ、またはブラウザ活動に続いて直ちに新しくダウンロードされた実行ファイルが注意を引く場合です。

疑わしい行動には、PowerShell、cmd.exe、Windows Script Host、mshta.exe、rundll32.exe、または他のユーティリティがChrome関連のプロセスツリーから予期しない実行をすることが含まれます。この脆弱性に特有のものではなく、単独で悪用の証拠として扱われるべきではありませんが、脆弱なブラウザバージョンと疑わしいブラウジング活動と組み合わせることで有用な行動シグナルを提供できます。

セキュリティチームはまた、エンドポイントテレメトリで、ブルスブルクラッシュやレンダラーフェイルの後、新しいプロセスの実行、ファイルの作成、クレデンシャルへのアクセス、持続性、またはネットワーク接続が続くなどの異常なChromeクラッシュを調査すべきです。ブラウザのクラッシュ自体は一般的であるため、他の証拠との相関が必要です。

ウェブプロキシ、DNS、セキュアウェブゲートウェイ、エンドポイントブラウザテレメトリを使用して、疑わしい実行直前のユーザー活動を再構築することができます。悪用が疑われる場合は、特にGoogleが観測された攻撃で使用されたウェブサイトやインフラに関する情報を公開していないため、関連するブラウジング履歴やネットワークログを保存するべきです。

現在、CVE-2026-125350に関連する販売者が発行したIOC（悪意のあるドメイン、IPアドレス、ペイロードハッシュ、攻撃者インフラ）はありません。Googleも責任ある脅威アクター、影響を受けた組織、キャンペーンスコープ、地理的なターゲティングを公開していません。

このような静的なインジケーターの不足は、行動ベースのモニタリングと迅速なブラウザバージョン管理を特に重要にします。ハッシュや既知のドメインだけに基づいて行うハントでは、公共の攻撃インフラが不明な場合に環境が悪用に直面したかどうかを確実に判断できません。

Microsoft Edge、Brave、Opera、VivaldiなどのChromiumベースのブラウザを使用している組織は、各ベンダーのアドバイザリーを監視し、関連するセキュリティ更新が利用可能になったときにそれらを展開するべきです。The Hacker Newsは特に、これらのブラウザのユーザーがベンダーがリリースした際に修正を適用することを推奨しています。

CVE-2026-125350の緩和

主な対策は、Google Chromeをすぐに修正版に更新し、修正済みのビルドを実行するためにブラウザを再起動することです。

Googleは以下をリリースしました：

• Windows用Chrome 157.0.8103.50/.51
• macOS用Chrome 157.0.8103.50/.51
• Linux用Chrome 157.0.8103.50
• WindowsおよびmacOS用のChrome Extended Stable 156.0.8078.96

Chromeは通常、自動的に更新をダウンロードしますが、ユーザーはブラウザを再起動して更新されたビルドを脆弱な実行プロセスに置き換える必要があります。The Hacker Newsは、更新がインストールされた後の その他 → ヘルプ → Google Chromeについて を開き、再起動を推奨しています。

企業のセキュリティチームは以下のアクションを取るべきです：

1. 管理されたエンドポイント間でChromeバージョンをインベントリする。
2. 修正されたStableまたはExtended Stableビルドより古いバージョンをまだ実行しているシステムを優先する。
3. 企業ブラウザ管理ツールを使用してChromeの更新を強制または加速する。
4. パッチを受け取った後に実際にブラウザが再起動されたことを確認する。
5. 直ちに更新できないエンドポイントを監視して、疑わしいブラウザ起源のプロセスを検出する。
6. 既存のウェブセキュリティコントロールを通じて、既知の悪意のあるまたは新しく登録されたウェブインフラへのアクセスを制限する。
7. パッチ展開前に発生した疑わしいChrome活動に対するセキュリティテレメトリを見直す。
8. Chromiumベースブラウザに対するベンダーのアドバイザリーを監視し、修正が利用可能になったときにそれらの製品を更新する。

実世界で既に悪用されているため、脆弱なシステムに対する対応策としてパッチ適用だけを選んではなりません。管理者は、脆弱なマシンで、特にセキュリティツールが異常なChromeクラッシュ、ブラウザ起源のコマンド実行、疑わしいダウンロード、または信頼できないインフラへの接続を記録している場合、最近のエンドポイント活動を見直すことを検討してください。

疑わしい活動が発見された場合は、影響を受けたエンドポイントを隔離し、ブラウザ、EDR、DNS、プロキシ、ネットワークテレメトリを保存し、修正前に解析します。調査員はイベントに先行するブラウザ活動を再構築し、フォローオンペイロード、クレデンシャルの窃取、持続性、または横展開が発生したかどうかを判断すべきです。

組織はまた、ブラウザが機密のウェブセッション、企業アプリケーション、クラウドコンソール、または特権クレデンシャルにアクセスするアカウントで実行されていたかどうかを確認する必要があります。侵害の証拠に応じて、セッションの取り消しやクレデンシャルの再発行が適切であるかもしれません。

Googleの制限的な情報公開は、防御者が実際のエクスプロイトの署名を構築するのに十分な公共情報が現在ないことを意味します。これは、パッチ管理と一般的なエクスプロイト検出の重要性を強化し、信頼できるネットワークやファイル署名を待つよりも優先されるべきです。