【Chrome脆弱性】156で353件修正、今すぐ更新を

Googleは2026年10月20日（米国時間）、Windows・macOS・Linux向けに「Google Chrome 156」を公開し、353件ものセキュリティ上の問題を修正しました。

そのうち6件は最も深刻度の高い「Critical」、61件は「High」に分類されており、AnthropicのAI「Claude」やOpenAIの「Codex Security」が発見に関わった脆弱性が公式に記載されている点も大きな話題になっています。

本記事では、Chrome 156で修正された脆弱性の概要、AIが脆弱性を見つける時代に企業が意識すべきこと、そして個人と企業の情報システム部門が今すぐやるべき更新・確認の方法を、わかりやすく解説します。

Chrome 156とは？——353件の脆弱性を一度に修正した大型アップデート

出展：https://unsplash.com/ja

Chrome 156は、Googleが2026年10月20日（米国時間）に安定版として公開した、Google Chromeの最新バージョンです。今回のアップデートでは353件のセキュリティ修正が行われました。

1回の更新としては非常に多い件数で、ブラウザの描画処理やアクセシビリティ機能、通信機能など、幅広い部分の脆弱性がまとめて修正されています。

公開されたバージョンは、Windows・macOS向けが156.0.8078.47または156.0.8078.48、Linux向けが156.0.8078.47です。更新は数日から数週間かけて順次配信されるため、すぐに自動で適用されるとは限りません。

Chrome 155の更新とは別のリリース

Googleは10月15日にも、Chrome 155向けに10件のセキュリティ修正を公開していました。今回の353件はそれとは別のリリースです。「先週アップデートしたから大丈夫」と思っている方も、Chrome 156に更新されているかを改めて確認する必要があります。

最も深刻な「Critical」の6件

今回修正された脆弱性のうち、最も深刻度の高いCriticalに分類されたのは次の6件です。いずれもブラウザが画面を描画したり、通信したりする中核部分に存在する、メモリ関連の脆弱性です。

メモリ破壊とUse-after-freeとは

メモリ破壊とは、プログラムが使うメモリ領域やデータの整合性が損なわれてしまう問題の総称です。Use-after-free（解放後使用）とは、すでに使い終わって解放したメモリを、プログラムが誤って再び使ってしまう問題を指します。

どちらも、悪用の条件がそろうと、ブラウザが突然終了したり、より深刻な不正動作につながったりするおそれがあります。ただし、個々の脆弱性について、どのような条件で悪用できるのか、外部から任意のコードを実行されるところまで至るのかといった点は、一律には判断できません。

Googleは、多くの利用者に修正が行き渡るまで、脆弱性の詳細を公開しない場合があると説明しています。詳細が伏せられているのは、攻撃者に手がかりを与えないためです。

Highの61件——JavaScriptエンジンやGPU処理など広い範囲で修正

Nano Banana Proで作成

Critical以外にも、61件のHighの脆弱性が修正されています。対象は、JavaScriptを処理するエンジン「V8」、グラフィックス処理に関わる「ANGLE」や「GPU」「WebGL」、ファイル操作に関わる「FileSystem」、ページ移動を管理する「Navigation」など、ブラウザの広い範囲に及びます。

内容としては、メモリ破壊、Use-after-free、入力値の検証の不備、メモリの範囲外を読み取ってしまう問題などが含まれています。

Googleは、脆弱性を報告した外部の研究者に報奨金を支払う制度を設けています。今回の公表資料でも、サイトごとに処理を分離する「SiteIsolation」のUse-after-freeに1万米ドル、FileSystemのUse-after-freeに3,000米ドルの報奨金が記載されています。世界中の研究者が脆弱性を探し、報告し、修正されるという仕組みが、ブラウザの安全性を支えています。

AIが脆弱性を見つける時代へ——ClaudeとCodex Securityの名前が公式に

今回のChrome 156で特に注目されているのが、AIツールを使った脆弱性の発見が公式に記載されている点です。

Criticalの「CVE-2026-113271」について、Googleは報告者を「AnthropicのXinyang Ge氏、Claudeの支援あり」と記載しました。また、WebRTCのCritical「CVE-2026-113303」は、OpenAIの「Codex Security」による報告とされています。

Highの脆弱性の中にも、OpenAI Codex Securityが報告したV8などのUse-after-freeや、Claudeの支援を受けた研究者によるメモリ破壊の脆弱性が含まれています。

なお、これらはGoogleが報告者や支援ツールとして公表した事実であり、AIが単独で脆弱性を見つけた割合や、どこまで自動で解析したのかまでは、公式情報からは判断できません。

企業にとっての意味——「守る側」も「攻める側」もAIを使う

AIが脆弱性の発見を助けるようになったことは、ソフトウェアの安全性を高めるうえで大きな前進です。これまで熟練の研究者が長い時間をかけて探していた問題を、AIの支援によってより早く、より多く見つけられるようになりつつあります。

一方で、同じような技術は攻撃者も使える可能性があります。脆弱性が見つかるスピードが上がれば、それを悪用しようとする動きも速くなるかもしれません。

企業にとって重要なのは、「修正版が出たら、できるだけ早く確実に適用する」という基本を徹底することです。AIの時代だからこそ、アップデートを後回しにしない運用の重要性はますます高まっています。

なぜブラウザのアップデートがこれほど重要なのか

https://unsplash.com/ja

ブラウザは、今や業務の入り口そのものです。メール、チャット、会計ソフト、顧客管理システムなど、多くの業務がブラウザ上のWebサービスで行われています。

ブラウザに脆弱性があると、Webサイトを閲覧しただけで攻撃を受けるおそれがあり、そこから社内の情報や業務システムへの不正アクセスにつながる可能性もあります。

特にChromeは世界で最も多く使われているブラウザの一つであり、攻撃者にとっても狙う価値の高い対象です。修正版が公開されると、その差分から脆弱性の内容を推測して攻撃を試みる動きが出ることもあります。「修正版が出た直後」は、実は更新していない端末にとって最も危険な時期でもあるのです。

なお、Microsoft EdgeやBraveなど、Chromeと同じ「Chromium」という仕組みをもとに作られたブラウザもあります。これらのブラウザには、それぞれの提供元から修正版が配信されます。社内でChrome以外のブラウザも使っている場合は、あわせて提供元の更新情報を確認し、最新版になっているかをチェックしておくと安心です。

個人でできる確認・更新の方法

Chromeのバージョンを確認する方法はとても簡単です。Chromeの右上にあるメニュー（縦に3つ並んだ点）から「ヘルプ」→「Google Chromeについて」を選ぶか、アドレスバーに「chrome://settings/help」と入力して開きます。この画面で現在のバージョンが表示され、更新があれば自動でダウンロードが始まります。

ここで注意したいのが、更新をダウンロードしただけでは修正が適用されない場合があることです。画面に「再起動」ボタンが表示されたら、必ずクリックしてブラウザを再起動しましょう。

タブを開いたままChromeを何日も閉じずに使っていると、更新が適用されないまま古いバージョンで動き続けてしまいます。再起動後にもう一度バージョンを確認し、Windows・macOSなら156.0.8078.47以降、Linuxなら156.0.8078.47以降になっていれば完了です。

企業の情報システム部門がやるべきこと

企業でChromeを管理している場合は、個人の対応に任せるだけでは不十分です。Chrome 156は数日から数週間かけて段階的に配信されるため、社内の端末によって更新のタイミングにばらつきが出ます。「更新が配信された」ことと「すべての端末が修正版で動いている」ことは別だと考え、適用状況を確認する仕組みが必要です。

「ダウンロード済み」と「適用済み」を区別する

資産管理ツールやMDM（モバイルデバイス管理）などの管理画面で、管理対象のWindows・macOS・Linux端末が、それぞれ修正版のバージョンになっているかを照合しましょう。特に注意したいのは、長期間ブラウザを起動したままの端末、アップデートの配信を延期するポリシーを適用している端末、在宅勤務や出張先など遠隔地で使っている端末です。

こうした端末は、更新がダウンロードされていても、実際には古いバージョンのまま動いていることがあります。

業務アプリケーションとの互換性も確認

大型のアップデートでは、まれに社内システムや業務で使うWebサービスの表示や動作に影響が出ることがあります。

業務への影響を避けるためにも、主要な業務アプリケーションがChrome 156で正常に動くかを確認したうえで、全社への適用を進め、更新が完了するまで追跡する運用がおすすめです。

あわせて、社員に向けて「Chromeを再起動してください」と一言周知するだけでも、適用までの時間を大きく短縮できます。終業時にブラウザを閉じる習慣をつけてもらうのも、手軽で効果的な方法です。

Chrome 156の対応チェックリスト

出典：https://unsplash.com/ja

個人と情報システム部門がやるべきことを、チェックリストとしてまとめました。社内への周知や対応状況の確認にご活用ください。

悪用は確認されていない——それでも急ぐべき理由

今回のGoogleの公式発表には、修正された353件の脆弱性が実際の攻撃で悪用されたという記載はありません。Criticalという深刻度だけを見て、すでにゼロデイ攻撃（修正前の脆弱性を狙う攻撃）が起きていると決めつける必要はありません。

とはいえ、「悪用が確認されていない」ことは「放置してよい」という意味ではありません。修正版の公開後は、脆弱性の内容が徐々に明らかになり、攻撃に使われるリスクが高まっていきます。

過度に不安になる必要はありませんが、公式の修正情報と自社の端末のバージョンにもとづいて、落ち着いて、しかし確実に更新を進めることが大切です。

よくある質問（FAQ）

まとめ：Chromeの脆弱性対策は「更新」と「再起動」の徹底から

Google Chrome 156では、Critical 6件を含む353件の脆弱性が修正されました。今回の公式発表では悪用の確認は記載されていませんが、ブラウザは業務の入り口であり、修正版の公開後は攻撃のリスクが高まっていきます。

Windows・macOSなら156.0.8078.47以降、Linuxなら156.0.8078.47以降に更新し、再起動まで行って初めて対応完了です。

また、ClaudeやOpenAI Codex Securityが脆弱性の発見に関わったことは、AIがセキュリティの世界を大きく変えつつあることを示しています。

脆弱性が見つかるスピードが上がる時代だからこそ、企業には「修正版を早く、確実に適用する」運用が求められます。個人は更新と再起動を、情報システム部門は全端末の適用状況の確認を。基本を徹底することが、AI時代のセキュリティ対策の第一歩です。