グーグルのウェブブラウザー、「Chrome」のメモリー脆弱性が後を絶たない。グーグルは48時間の間に2度のセキュリティ更新を配信し、重大な脆弱性3件を修正した。
Chromeを使う35億人のうちの1人にすぎないのなら、バッファオーバーフロー（buffer overflow）や解放済みメモリーの使用（use-after-free）といったセキュリティ上の問題は、おそらくあまりなじみのない言葉だろう。だが幸いなことに、グーグルのセキュリティチームはこの種のメモリー脆弱性を知り尽くしている。同社はわずか48時間のうちに、重大な脆弱性3件を修正するアプリケーションの更新を配信した。
朗報は、自動更新のあとにブラウザーを再起動してさえいれば、CVE-2026-76034、CVE-2026-76036、CVE-2026-76017の3件がすでに無害化されているという点だ。
一方で気がかりなのは、AIツールの助けを借りた報奨金ハンターによって、脆弱性がこれまで以上に多く見つかっていることである。そのためグーグルは、良心的とはいえないハッカーが同じ脆弱性を先に見つけて犯罪に悪用する前に、修正を当てなければならない戦いを強いられている。
48時間で2度の更新、重大なメモリー脆弱性3件を修正
グーグルChromeのスリニバス・シスタは、米国時間8月18日の告知で、この更新によって合計15件の脆弱性に対処し、Windows版・Mac版・Linux版のChromeをバージョン151.0.7922.169／.170に引き上げたと明らかにした。このうち2件が「重大」と評価されており、いずれもバッファオーバーフローの類いだった。
それから48時間とたたない8月20日、シスタは新たな告知を出した。さらに7件の脆弱性が見つかり、Chromeはバージョン151.0.7922.173／.174へと更新されたという。この7件には、重大と評価された解放済みメモリーの使用の問題が1件含まれていた。
2日間で2度の更新という事態は、ほぼ1カ月前の7月18日に筆者が報じたときの繰り返しである。このときは、グーグルのテクニカルプログラムマネージャーであるダニエル・イップが、重大なメモリー脆弱性が含まれていることを認めたと書いた。
