Googleは2026年9月8日、デスクトップ版Chromeの安定版を 153.0.8010.36（Linux）／153.0.8010.36 と .37（Windows・Mac）へ更新しました。この更新には230件のセキュリティ修正が含まれますが、急ぐ理由はそのうちの1件、CVE-2026-87491 です。
JavaScriptエンジン V8 の境界外書き込みで、細工したHTMLページを開かせるだけで、遠隔の攻撃者がサンドボックス内で任意のコードを実行できます。そしてGoogleは公式リリースノートに「この脆弱性の悪用が実際に存在することを把握している」と明記しています。
やることは1つです。Chromeを更新して、再起動してください。
今すぐ行う対策
- ✓Chromeを更新する。 アドレスバーに `chrome://settings/help` と入力して開くと、更新の確認と適用が始まります。表示が 153.0.8010.36 以上（Windows・Macでは .37 も該当）なら適用済みです。
- ✓「再起動」ボタンを必ず押す。 ダウンロードだけでは適用されません。押してChromeが再起動するまで、古いV8が動き続けます。
- ✓Edgeを使っている人も更新する。 CISAはこの脆弱性が「Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のブラウザに影響しうる」と明記しています。Edgeは `edge://settings/help` で確認します。
- ✓スマートフォンのChromeも確認する。 Android版・iOS版はApp Store／Google Playからの更新で、デスクトップ版とは配信のタイミングが異なります。
- ✓業務端末を管理している場合は、更新の強制適用を検討する。 CISAは米国連邦機関に対し 2026年9月23日 を期限として対処を求めています。
このスコアの出所を明示します。 上の 8.8 は CISA-ADP が付けた CVSS v3.1 の値で、ベクタは `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H` です。NVDでのこのCVEの状態は「Modified」です。そしてこれとは別の事実として、この記録にはNISTが付けたCVSS評価が入っていません（掲載されているCVSSはCISA-ADPのものだけです）。「Modified」は記録が更新されたことを示す状態表示であって、NISTが評価していないという意味ではありません。
注意してほしいのは、Google自身の深刻度評価は「Medium（中）」だという点です。同じ脆弱性に 8.8 HIGH と Medium の2つの評価が並んでいます。NVDを見た人は「HIGHではないか」と言い、Googleのリリースノートを見た人は「Mediumだろう」と言う——どちらも正しく、見ている出典が違うだけです。本記事はCVSSの数値としてCISA-ADPの値を採り、Googleの区分も併記しています。
「Medium」なのに急ぐ理由
深刻度の区分は「もし悪用されたら、どれだけ悪いか」の目安です。「いま悪用されているか」は、それとは別の情報です。
このCVEは後者に該当します。Googleは公式リリースノートの末尾に、次の一文を置いています。
Chrome Releases「Stable Channel Update for Desktop」2026年9月8日 より
Google is aware that an exploit for CVE-2026-87491
exists in the wild.
（この脆弱性の悪用が実際に存在することを Google は把握している）CISAも2026年9月9日、これを KEV（Known Exploited Vulnerabilities＝悪用が確認された脆弱性）カタログへ追加しました。
急ぐ理由は深刻度の数字ではなく、この2点です。Googleが悪用の存在を認めていること、そしてCISAが実際に悪用された脆弱性として登録したこと。「Mediumだから後でいい」という判断は、この2点の前では成り立ちません。
何が起きるのか：V8の境界外書き込み
V8 は、ChromeがWebページのJavaScriptを実行するためのエンジンです。ページを開けば必ず動きます。つまり、攻撃者が用意したページを表示させるだけで攻撃の入口に立てます。
境界外書き込み（Out of bounds write／CWE-787）は、確保したメモリ領域の外へデータを書いてしまう不具合です。書き込む場所と内容を攻撃者が調整できると、本来のプログラムの流れを乗っ取れます。NVDの記述では、細工したHTMLページ経由で、遠隔の攻撃者がサンドボックス内で任意のコードを実行できるとされています。
「サンドボックス内」という限定は、正確に受け取ってください。Chromeはページを描画する処理を隔離された領域（サンドボックス）で動かしており、この脆弱性だけでOS全体を自由に操作できるわけではありません。
ただし安全という意味でもありません。サンドボックス内でコードが動けば、そのページの範囲を超えた情報の窃取や、サンドボックスを破る別の脆弱性との組み合わせが視野に入ります。過大にも過小に受け取らず、「更新すれば閉じる穴」として今日塞ぐのが妥当な扱いです。
対象はChromeだけではない
CISAのKEVカタログの説明文には、こう書かれています。「この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む（ただしこれらに限らない）、Chromiumを利用する複数のWebブラウザに影響しうる」
V8はChromiumの一部で、Chromiumは多くのブラウザの土台です。Chromeを更新しただけで終わりにしないでください。
なお本記事では、Chrome以外の各ブラウザについて具体的な修正版番号は挙げません。各ベンダーが公開する更新情報で確認してください。推測した版番号を書くと、かえって誤った安心につながります。
- ▸Google Chrome — `chrome://settings/help`。修正版は 153.0.8010.36（Windows・Macは .37 も該当）
- ▸Microsoft Edge — `edge://settings/help`。Chromium系のため対象。適用版はMicrosoftの公開情報で確認する
- ▸Opera / Brave / Vivaldi など — いずれもChromium系。各公式の更新情報を確認する
- ▸Electron製のデスクトップアプリ — Chromiumを内包するため、アプリ側の更新が必要になる場合がある
更新できたかを確認する
`chrome://settings/help` を開くと、更新の確認と適用が同時に始まります。表示されるバージョンが 153.0.8010.36 以上（Windows・Macでは .37 も該当）なら適用済みです。
更新が降りてこない場合、企業や学校の管理下で配信が制御されていることがあります。その場合は管理者に、CISAが示した期限 2026年9月23日 を添えて相談してください。個人の端末で更新が進まないときは、Chromeを完全に終了してから開き直します。