【緊急】Google Chrome（Chromium）CVE-2026-125350：CISAが悪用確認のKEVに追加（11月10日）— XML処理のuse-after-freeで、細工されたWebページを開くとサンドボックス内でコードを実行される恐れ、Chrome 157.0.8103.50以降（Extended Stableは156.0.8078.96以降）が修正版（CVSS v3.1 8.8）

Google Chromeなどが使うブラウザの土台「Chromium」の脆弱性CVE-2026-125350が、2026年11月10日にCISA（米国のサイバーセキュリティ機関）の「KEV」に追加されました。KEVは、実際に悪用された脆弱性のカタログです。Googleは11月9日のリリース告知で、「CVE-2026-125350の攻撃コードが実際に出回っていることを把握している」と書いています。NVDの説明によると、XML処理の「use after free（解放済みのメモリを使ってしまう不具合）」で、細工されたHTMLページを開くと、ブラウザのサンドボックス（隔離された領域）の中で任意のコードを実行される恐れがあります。

まず、Chromeを最新版に更新して、ブラウザを再起動してください。修正が入った最初のバージョンは157.0.8103.50（Windows・Macは.50/.51、Linuxは.50）で、11月9日に公開されました。その後、11月11日にさらに新しい157.0.8103.78/.79（Linuxは.78）が公開されています。企業向けの長期版「Extended Stable」（WindowsとMacのみ）は、同じ11月9日に出た156.0.8078.96が、この脆弱性の修正を含みます。NVDも、影響を受けるChromeを「157.0.8103.50より前」としています。Googleは、新しい版は「数日〜数週間かけて順次配信される」と書いているので、更新がすぐに出ないときは、時間をおいて確認してください。

スコアの出どころ：8.8（CVSS v3.1）は、NVDに載っているCISA-ADP（CISAによる追加評価）の値です。ベクターは「ネットワークから・攻撃の複雑さ低・権限不要・利用者の操作が必要・影響範囲は変わらない・機密性／完全性／可用性への影響がいずれも高」です。11月12日の取得時点で、NVDにあったCVSSはこの1件だけでした（NIST自身のスコアは見当たりませんでした）。CISAのSSVC評価では、悪用は「active（実際に起きている）」、自動化は「no」、技術的影響は「total（全面的）」です。Chromiumの区分は「High」です。

何が起きているのか（公表されている範囲）

• ▸CVE-2026-125350：ChromeのXML処理にある、use after free（解放済みメモリの再利用）です。Googleの告知では「Use after free in XML」、重大度は「High」と書かれています。弱点の種類はCWE-416です。報告者は、Arni Hardarson（Neonix Security）さんと、匿名の方です
• ▸「サンドボックス内で」とは：ブラウザは、Webページを動かす部分を、パソコン全体から隔離した領域（サンドボックス）に閉じ込めています。NVDの説明は、その領域の中でコードを動かされる、というものです。サンドボックスの外へ出るには、別の脆弱性が必要になるのが一般的ですが、今回の攻撃でそれが使われたかどうかは、確認できた資料に書かれていません
• ▸攻撃のきっかけ：NVDの説明は「細工されたHTMLページ」です。ベクターでは、利用者の操作（ページを開くなど）が必要とされています。攻撃者が用意したページや、改ざんされたサイトを開くと、条件が整う恐れがあります
• ▸CISAのKEV：11月10日に追加され、米国の連邦機関への対応期限は11月24日です。CISAは、この脆弱性がChrome・Microsoft Edge・Operaなど、Chromiumを使う複数のブラウザに影響し得ると書いています

今日やること

• ✓★Chromeを更新して再起動する。右上のメニューから「ヘルプ」→「Google Chromeについて」を開く（アドレス欄に chrome://settings/help と入力しても開きます）と、更新の確認が始まります。更新が終わっても「再起動」を押すまでは、古い版のままです。通常のStableは157.0.8103.50以上、Extended Stableは156.0.8078.96以上なら、この脆弱性は修正済みです（Stableは、11月11日以降は157.0.8103.78/.79が最新です）。Linuxは、メニューではなくパッケージマネージャーでChromeを更新し（Googleのヘルプの案内）、更新後にブラウザを再起動してください
• ✓★Microsoft Edgeを使っているなら、公式の更新ノートを確認する。Microsoftは11月9日に「悪用を把握していて、修正を準備している」と書き、11月11日にAndroid版Edge（157.0.4341.53）で修正を出しました。一方、デスクトップ版Edgeについては、11月12日の取得時点で、修正版の記載が公式ノートに見つかりませんでした。更新が出たら入れてください（edge://settings/help で確認できます）
• ✓Brave・Opera・Vivaldiなど、他のChromium系ブラウザも更新を確認する。CISAは複数のブラウザに影響し得ると書いていますが、各社の修正状況は、当サイトでは確認していません
• ✓Android版Chromeは、Google Playの更新を確認する。Googleは、157.0.8103.78をAndroidに公開し「Google Playで数日かけて利用可能になる」と書いています
• ✓会社や学校のパソコンを管理しているなら、ブラウザの更新が配られているか、再起動が済んでいるかを確認する。開いたままのブラウザは、再起動するまで古い版で動いています
• ✓知らないサイトのリンクを、更新が済むまで開かない。メールやSMS、SNSのダイレクトメッセージのリンクは、特に注意してください

確認できなかったこと

• ▸攻撃の規模・攻撃者。Googleは「攻撃コードが出回っている」とだけ書いていて、件数や攻撃者の情報は、確認できた資料にありませんでした
• ▸サンドボックスの外へ出る攻撃が、実際に使われたかどうか。NVDの説明は、サンドボックス内でのコード実行です
• ▸デスクトップ版Edge、Brave、Opera、Vivaldiの修正版。Edgeの公式ノートに、デスクトップ版の記載は見つかりませんでした。他の3つは確認していません
• ▸iPhone版Chrome。この記事では確認していません
• ▸日本国内の被害。この記事では示せません
• ▸NISTによるスコア。11月12日の取得時点のNVDには、CISA-ADPの8.8だけがありました

共有するならこの3行

• ▸Google ChromeなどChromiumの脆弱性CVE-2026-125350が、11月10日にCISAの「悪用確認」カタログ（KEV）に追加された。Googleは「攻撃コードが出回っている」と発表している
• ▸★Chromeは「ヘルプ」→「Google Chromeについて」で更新して、必ず再起動する。通常のStableは157.0.8103.50以上、Extended Stable（Windows・Mac）は156.0.8078.96以上が修正版（Stableの11月11日以降の最新は157.0.8103.78/.79）
• ▸Edgeなど、Chromiumを使う他のブラウザも更新を確認する。デスクトップ版Edgeの修正版は、11月12日時点で公式ノートに見つからなかった

根拠にしたページ