Googleは、攻撃者によってすでに野外で悪用されていることが確認された後、Chromeの高深刻度の脆弱性を修正しました。

CVE-2026-85046として追跡されるこの脆弱性は、ChromeがJavaScriptとWebAssemblyの実行に使用するV8エンジンに影響します。V8はユーザーが訪問するすべてのウェブサイトのコードを処理するため、その脆弱性は、被害者を悪意のあるウェブページに誘導するだけで悪用できることから、攻撃者にとって魅力的な標的となります。Googleは、攻撃者、被害者、悪用の具体的な内容を特定していません。

「Googleは、CVE-2026-85046のエクスプロイトが野外に存在することを認識しています」と同社は木曜日に公開したセキュリティ通知の中で述べています。「また、セキュリティバグが安定版チャネルに到達するのを防ぐために開発サイクル中にご協力いただいたすべてのセキュリティ研究者に感謝いたします」

修正は、WindowsおよびMac向けのChrome 152.0.7977.82および152.0.7977.83、Linux向けのバージョン152.0.7977.82に含まれています。Googleは、この更新が「今後数日〜数週間で順次提供される」と述べています。ユーザーはChromeの設定メニューからバージョンを確認し、保留中の更新を適用できます。また、Edge、Brave、OperaなどのChromiumベースのブラウザは通常、それぞれのリリーススケジュールで同じV8修正を統合します。

CVE-2026-85046は型混同(type-confusion)バグです。この種の脆弱性は、ソフトウェアがデータを誤った型として扱うことで発生し、メモリエラーやその他の予期しない動作を引き起こします。Googleは、このバグがリモートでのコード実行に利用可能かどうかを明らかにしていません。

セキュリティ研究者のSalvatore Gulizia(Serotavの名でも知られる)が8月4日にこの脆弱性を報告し、Googleから1,000ドルのバグ報奨金を受け取りました。V8の脆弱性はGoogleの報奨金プログラムで繰り返し対象となっており、野外で悪用されたChromeのゼロデイは例年数回公表されています。

今回のChrome更新には合計12件のセキュリティ修正が含まれており、うち9件が高深刻度、2件が中深刻度です。Googleは、大半のユーザーと影響を受けるサードパーティプロジェクトが修正を適用するまで一部の詳細を保留しており、エクスプロイトに関する追加情報をいつ公表するかについては述べていません。

ブラウザを経由した暗号資産の窃取

GoogleはCVE-2026-85046を暗号資産ユーザーへの攻撃と結び付けていませんが、ブラウザウォレット、取引所アカウント、取引用拡張機能は他の手法によって標的にされてきました。暗号資産保有者は、ブラウザ拡張機能やウォレットが侵害されると資金への直接アクセスを許してしまう可能性があるため、こうした攻撃の頻繁な標的となっています。

2025年11月、研究者らは、悪意のあるChrome拡張機能がユーザーのスワップに隠れたSOL転送を追加していたことを発見しました。

その1か月後、シンガポールの起業家は、ゲームを装ったマルウェアにより、ブラウザ接続されたウォレットから14,000ドル超が流出したと述べました。彼はこの攻撃に窃取された認証トークンと以前のChromeゼロデイが関与していたと考えていますが、CVE-2026-85046との関連は報告されていません。

さらに最近の8月には、研究者らがウォレットの認証情報を窃取する数十の偽のFirefoxウォレット拡張機能を発見しました。