事故・脆弱性11分で読める

CVE-2026-125350 — Google ChromeのXML処理のuse-after-freeで悪用が確認された脆弱性の解説と対応策（157.0.8103.50で修正・KEV掲載済み）

CVE-2026-125350は、Chrome 157.0.8103.50より前のXML処理のuse-after-free。Googleは悪用コードの存在を認めた。KEVに11月10日追加、期限11月24日。

本文を読む

高CVSS8.8#CVE-2026-125350 #Google Chrome #Chromium #use-after-free #ブラウザ #ゼロデイ #KEV

公開日: 2026-11-11
更新日: 2026-11-11
最終確認: 2026-11-11

Google Chromeの、細工したWebページを開くだけで悪用され得る脆弱性の解説です。何が起きるのか・対象と修正版・管理者を含む対応を、攻撃の再現手順は伏せて防御目線でまとめます。

速報サマリー — ADVISORY / KEV

CVE: CVE-2026-125350（Chromium Issue 582442907）
重大度: Chromium深刻度 High。CVSS v3.1 8.8（AV:N/AC:L/PR:N/UI:R。CISAのADPが付与）
種別: XML処理のuse-after-free（CWE-416）。サンドボックス内での任意コード実行
対象: Google Chrome 157.0.8103.50より前（CVE記録）。KEVはChromiumを使うEdge・Operaなどにも影響し得ると説明
修正: Chrome安定版 157.0.8103.50（Windows・Macは157.0.8103.50/.51、Linuxは157.0.8103.50）
公開日: Chrome Releasesの記事：2026年11月9日。CVE記録の公開：11月10日
悪用状況: Googleが悪用コードの存在を把握と記載。CISA KEVに11月10日追加（対応期限 11月24日）

悪用あり

Googleの記載

8.8

CVSS v3.1（CISA ADP）

157.0.8103.50

修正版（Windows・Macは.51も）

11月24日

KEVの対応期限

放置の危険度

この種類の欠陥は、細工したWebページを表示するだけで足がかりを作られ得ます。サンドボックス内のコード実行そのものは、端末の完全な乗っ取りとは別ですが、他の欠陥と組み合わされる前段として使われるのがブラウザ攻撃の典型です。このCVEでそうした組み合わせが使われたかは、公開情報では確認できません。

どんな脆弱性か

CVEの記録によると、157.0.8103.50より前のChromeにあるXML処理のuse-after-free（解放済みのメモリを使ってしまう不具合）で、リモートの攻撃者が細工したHTMLページを通じて、サンドボックス内で任意のコードを実行できる可能性があります。Googleのリリース情報では、深刻度はHighで、報告者は匿名、報告日は2026年11月6日です。

利用者がしなければならない操作は、細工されたページを開くことです（CVSSのUI:R）。
攻撃の手順やコードは、Googleも公開しておらず、当サイトも記載しません。
Googleは、利用者の更新が進むまでバグの詳細を制限することがあると断っています。

同じ更新には、XMLのuse-after-freeがもう1件（CVE-2026-125346）含まれますが、Googleが悪用コードに言及したのはCVE-2026-125350だけです。この更新全体では、深刻度HighとMediumを合わせて9件のセキュリティ修正が入っています。

影響範囲

項目	内容
製品	Google Chrome（デスクトップ）
影響を受ける版	157.0.8103.50より前（CVE記録）
修正（安定版）	Windows・Mac：157.0.8103.50/.51、Linux：157.0.8103.50
Chromium系の他ブラウザ	KEVの説明では、Edge・Operaなどにも影響し得る。修正版は各社が別に出す
Microsoft Edge	確認した時点で、Microsoftのセキュリティリリースノートに本CVEを取り込んだ版の記載は見当たらず、版番号は確認できなかった。11月9日付で、実環境の悪用を認識し修正を準備中との告知がある（CVE名の記載なし）
回避策	勧告に記載なし。更新が対策

Googleは、更新を「数日から数週間かけて」順次配信するとしています。手元に届くのを待たずに、手動で更新を確認できます。
Android版やiOS版については、今回の安定版デスクトップ更新の記事に記載がありません。それらを使っている場合は、各ストアの更新を確認してください。

自分が対象か確かめる方法

Chromeの版を確認する

アドレス欄に chrome://settings/help と入力して開きます（メニューの「ヘルプ」→「Google Chromeについて」）。表示された版が157.0.8103.50未満なら対象です。この画面を開くと、更新の確認と取得が自動で始まります。

再起動の待ちになっていないかを見る

更新が済んでいると、「再起動」ボタンが表示されます。再起動するまで修正は有効になりません。タブを多く開いたまま何日も過ごしている端末は、特に注意が必要です。

他のブラウザも確認する

EdgeやOperaなど、Chromiumを土台にしたブラウザを使っている場合は、それぞれの「バージョン情報」から更新を確認します。各社の修正版がいつ出るかは別で、この記事の確認時点では版番号を確かめられませんでした（資産棚卸しチェックリスト）。

今日やること

Chromeを更新して再起動する（最優先）

「Chromeについて」を開いて更新を取得し、「再起動」を押します。再起動前に、作業中のタブやフォームの入力を保存してください。再起動後にもう一度版を見て、157.0.8103.50以上であることを確かめます。

Edge・Operaなど他のChromium系も更新する

使っているブラウザの更新を確認し、最新にします。修正版が出ていない間は、信頼できないサイトを開かない、不要な拡張を外す、といった露出を減らす手当てを当サイトの補足として勧めます。更新の代わりにはなりません。

（管理者）配下の端末の版を洗い出す

管理コンソールや資産管理ツールで、Chromeの版が157.0.8103.50未満の端末を洗い出します。リモート勤務や外出が多い端末、長く再起動していない端末が残りやすい対象です。

（管理者）更新と再起動を強制する

更新を止めるポリシーや、版を固定する設定が入っていないかを確認し、外します。Chromeには再起動を促す通知のポリシー（RelaunchNotification など）があるので、期限を決めて再起動を促します。KEVの対応期限は11月24日です。進め方は脆弱性対応の実務手順にまとめています。

更新後に、不審な挙動がないかを見る

更新が済むまでの間に、見覚えのないブラウザ拡張の追加、ホームページや検索エンジンの変更、保存されたパスワードへの不審なアクセスがなかったかを確かめます。何かあれば、該当端末のパスワードの入れ替えと隔離を検討してください。

悪用状況

Googleのリリース情報に、CVE-2026-125350の悪用コード（exploit）が実環境（in the wild）に存在することを把握しているとの記載があります（当サイトの要約）。
CISAは2026年11月10日にKEVへ追加し、対応期限を11月24日としました（KEVの版 2026.11.10）。ランサムウェアでの利用は「Unknown（不明）」、フォレンジック確認は「No」です。
CVEの記録に、CISAの評価（悪用あり・自動化不可・影響は全面的）が追記されています。
攻撃の規模・手口・攻撃者についての公開情報は、確認できませんでした。今年何件目のゼロデイにあたるかも、Googleの記載にはなく、当サイトでは確認していないため、書きません。

当サイトの視点：「更新済み」ではなく「再起動済み」を確認する

ブラウザは、更新がダウンロードされても、再起動までは古いプロセスが動き続けます。管理された端末では、更新の配信が済んだことと、利用者が再起動したことが別々に管理されます。確認の単位を「版が157.0.8103.50以上で動いているか」に置くと、取りこぼしが減ります（CVSS・EPSS・KEVで優先順位を決める）。

出典

Google — Stable Channel Update for Desktop（Chrome Releases、2026年11月9日。修正版・悪用コードの記載）
CVE.org — CVE-2026-125350（2026年11月10日公開。CISAの追記を含む）
NVD — CVE-2026-125350
CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日追加・期限11月24日）
Microsoft — Microsoft Edge Security Release Notes（Edgeの修正版の有無の確認に使用）

最終確認：2026年11月11日。

よくある質問

QCVE-2026-125350とは何ですか？

Google ChromeのXML処理にあるuse-after-free（解放後メモリの使用、CWE-416）です。CVEの記録では、157.0.8103.50より前のChromeで、リモートの攻撃者が細工したHTMLページを通じてサンドボックス内で任意のコードを実行できる可能性があるとされています。Chromiumの深刻度はHigh、CISAが追記したCVSS v3.1は8.8です。

Qどの版に直せば安全ですか？

Googleの安定版（Stable）の更新は、WindowsとMacが157.0.8103.50または.51、Linuxが157.0.8103.50です。Chromeの設定の「Chromeについて」で版を確認し、再起動して反映します。配信は数日から数週間かけて段階的に行われるとGoogleは記載しているため、手元に更新が届いていなければ手動で確認してください。

Qすでに悪用されていますか？

はい。Googleのリリース情報に、このCVEの悪用コード（exploit）が実環境（in the wild）に存在することを把握しているとの記載があります（当サイトの要約です）。CISAも11月10日にKEVへ追加しました（対応期限11月24日）。攻撃の規模・手口・攻撃者については、公開情報から確認できませんでした。

QEdgeやOperaなど、Chrome以外のブラウザも対象ですか？

CISAのKEVの説明は、Chromiumを使う複数のブラウザ（Google Chrome、Microsoft Edge、Operaなど）に影響し得るとしています。ただし各社の修正版は版番号が別で、当サイトが公式情報で確認できた範囲では、MicrosoftのEdgeセキュリティリリースノートに本CVEを取り込んだ版の記載は見当たりませんでした。ただし同ノートには11月9日付で、実環境の悪用を認識しており修正を準備中との告知があります（CVE名の記載はありません）。Edge、Operaなどは、各ブラウザの更新を確認して最新にしてください。

Q同じ更新に入っている別のXMLの脆弱性（CVE-2026-125346）とは別物ですか？

別のCVEです。同じ更新でCVE-2026-125346（XMLのuse-after-free、High）も修正されていますが、Googleが悪用コードの存在に言及したのはCVE-2026-125350だけです。更新はまとめて適用されるため、修正版に上げれば両方に対応できます。

Q企業や組織の管理者は何をすればよいですか？

配下のChromeを157.0.8103.50（Windows・Macは.51も）以上にし、再起動まで完了させます。更新を止めるポリシーや固定している版がないかを確認し、管理コンソールの版の一覧で未更新の端末を洗い出してください。Chromeには再起動を促す通知のポリシー（RelaunchNotification など）があり、更新後の再起動を促すのに使えます。CISAのKEVの期限は11月24日です。