Google ChromeのV8の脆弱性CVE-2026-11645の悪用
Googleの2026年6月8日の発表によると、ChromeのV8にある範囲外メモリアクセスの脆弱性CVE-2026-11645の悪用コードが実環境に存在することを、同社は認識している［1］。CVEレコードのCISAの記録とNVDによると、米国のCISAは6月9日にこの脆弱性をKEV（既知の悪用された脆弱性）カタログに加えた［8、9］。
脆弱性の内容
Googleのデスクトップ版の更新の告知では、この更新は74件のセキュリティ修正を含む［1］。Security NEXTの記事では、その内訳はクリティカル17件、高55件、中2件である［18］。
| 項目 | 値 | 資料 |
|---|---|---|
| 重大度（Chromium） | High | ［1］ |
| CVSS 3.1の基本値 | 8.8（HIGH。CISAのADPが評価） | ［8］ |
| CWE | CWE-125（範囲外読み取り）、CWE-787（範囲外書き込み）。CISAのADPが付与 | ［8］ |
| CVEレコードの説明 | V8の範囲外の読み書きにより、遠隔の攻撃者が細工したHTMLページでサンドボックス内で任意のコードを実行できた | ［8］ |
| 報奨金 | 55,000ドル | ［1］ |
| Chromiumのバグ番号 | 506689381 | ［1］ |
SecurityWeekは、Googleが割り当てた識別子「303f06e3」から見て、同じ研究者が以前にもChromeの脆弱性を報告していたと報じた［17］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | 報告者（303f06e3） | CVE-2026-11645をGoogleに報告した〔注1〕 | ［1］ |
| 2026年 | デスクトップ版とAndroid版のChromeの安定版を更新した | ［1、2］ | |
| 2026年 | Chrome（CNA） | CVEレコードを公開した | ［8］ |
| 2026年 | NIST | NVDにCVE-2026-11645を載せた | ［9］ |
| 2026年 | Microsoft | Edgeの安定版を更新した | ［4］ |
| 2026年 | Cyber Centre | 注意喚起AV26-561を出し、Update 1でKEVへの追加を追記した | ［15］ |
| 2026年 | HKCERT | Chromeの複数の脆弱性の告知を出し、危険度をExtremely High Riskとした | ［16］ |
| 2026年 | Debian | chromiumのセキュリティ更新を告知した | ［6］ |
| 2026年 | Vivaldi | デスクトップ版8.0の6回目のマイナー更新を出した | ［14］ |
| 2026年 | Opera | 各ブラウザの更新を告知した | ［13］ |
| 2026年 | Microsoft | セキュリティ更新ガイドにCVE-2026-11645を載せた | ［5］ |
| 2026年 | ChromeOSの安定版を更新した | ［3］ | |
| 2026年 | JPCERT/CC | Weekly ReportでGoogle ChromeとMicrosoft Edgeの脆弱性を取り上げた | ［10］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Chrome（Windows・Mac） | 149.0.7827.102/.103より前 | 149.0.7827.102/.103 | ［1、16］ |
| Chrome（Linux） | 149.0.7827.102より前〔注2〕 | 149.0.7827.102 | ［1、16］ |
| Chrome（Android） | - | 149.0.7827.102 | ［2］ |
| ChromeOS | - | 16667.47.0（ブラウザ149.0.7827.153） | ［3］ |
GoogleのAndroid版の告知では、Android版は特記の無い限り、対応するデスクトップ版と同じセキュリティ修正を含む［2］。GoogleはChromeOSの告知でも、脆弱性の一覧にCVE-2026-11645を載せた［3］。
| 配布元 | 状態 | 修正版・アドバイザリ | 資料 |
|---|---|---|---|
| Microsoft（Edge Stable） | 修正を含む | 149.0.4022.62〔注3〕 | ［4］ |
| Debian（bookworm） | 修正済み | 149.0.7827.102-1~deb12u1（DSA-6337-1） | ［6］ |
| Debian（trixie） | 修正済み | 149.0.7827.102-1~deb13u1（DSA-6337-1） | ［6］ |
| Debian（bullseye） | 未修正（end-of-life） | - | ［7］ |
| Vivaldi（デスクトップ版8.0） | 修正を取り込んだ | Chromium 148.0.7778.263 ESR | ［14］ |
| Opera（One・GX・Air・Neon・Android） | 修正を含む | One 132.0.5905.37、GX 132.0.5905.43、Air 132.0.5905.38、Neon 132.0.5905.40、Android 99 | ［13］ |
Microsoftはセキュリティ更新ガイドで、このCVEはChromeが割り当てたもので、Edge（Chromiumベース）が取り込むChromiumがこの脆弱性に対処していると説明した［5］。ガイドへの掲載は、Edgeの最新版がもはや脆弱でないことを知らせるためである［5］。
Debianの6月10日の告知では、Chromiumの脆弱性は任意のコードの実行、サービス拒否、情報の漏えいに至りうる［6］。
Vivaldiは、上流のChromium 148（Extended Stable Release）への更新が、CVE-2026-11645の修正を含むChromium 149のセキュリティ修正を取り込んでいると告知した［14］。Operaの告知では、各ブラウザの最新の修正が、CVE-2026-11645のゼロデイの悪用を含む最近の複数の脆弱性に対処する［13］。
悪用の状況
CISAのADPがCVEレコードに付けたSSVCの評価は、Exploitationがactive、Automatableがno、Technical Impactがtotalである［8］。
The Hacker NewsとSecurityWeekは、2026年に悪用されたChromeのゼロデイは今回で5件になったと報じ、ほかの4件にCVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281を挙げた［11、17］。
The Hacker NewsとSecurity NEXTの記事では、CISAがこのときKEVカタログに加えた脆弱性はCVE-2026-11645を含む3件だった［12、19］。
香港のHKCERTの告知によると、危険度の評価の理由は、CVE-2026-11645が実環境で悪用されていることである［16］。カナダのCyber Centreは注意喚起で、悪用コードが実環境に存在するとGoogleが認識していることを伝えた［15］。
JPCERT/CCはWeekly ReportのGoogle Chromeの項に、今回修正された一部の脆弱性を悪用した攻撃をGoogleが確認していると書いた［10］。Microsoft Edgeの項の記述は、一部の脆弱性が悪用されたとの報告をマイクロソフトが確認しているというものだった［10］。
修正と回避策
Googleは、デスクトップ版の更新を今後数日から数週間かけて配信するとした［1］。Android版の告知では、数日かけてGoogle Playで提供する［2］。
NVDに載ったCISAのKEVの項目では、対応期限は6月23日である［9］。項目が求める措置は、ベンダーの指示に従った緩和策の適用、クラウドサービスでのBOD 22-01の指針の順守、または緩和策が無いときの製品の使用の中止である［9］。
JPCERT/CCは、修正済みのバージョンへの更新で問題が解決するとした［10］。
未公表の事項
注
出典
当事者
- ［1］Google LLC『Stable Channel Update for Desktop』（2026年6月8日公開）
- ［2］Google LLC『Chrome for Android Update』（2026年6月8日公開）
- ［3］Google LLC『Stable Channel Update for ChromeOS / ChromeOS Flex』（2026年6月17日公開、2026年6月24日更新）
関係組織
- ［4］Microsoft Corporation『Release notes for Microsoft Edge Security Updates』（2026年6月9日公開、2026年11月2日更新）
- ［5］Microsoft Corporation『Chromium: CVE-2026-11645 Out of bounds memory access in V8』（2026年6月15日公開）
- ［6］Debian Project『\[SECURITY\] \[DSA 6337-1\] chromium security update』（2026年6月10日公開）
- ［7］Debian Project『CVE-2026-11645』（公開日不明、2026年11月4日閲覧）
- ［13］Opera Norway AS『Update your browser: Security fix for Chrome zero-day CVE-2026-11645』（2026年6月11日公開）
- ［14］Vivaldi Technologies AS『Minor update (6) for Vivaldi Desktop Browser 8.0』（2026年6月10日公開）
公的機関
- ［8］CVE Program『CVE-2026-11645』（2026年6月8日公開、2026年6月10日更新）
- ［9］National Institute of Standards and Technology『CVE-2026-11645』（2026年6月9日公開、2026年7月23日更新）
- ［10］一般社団法人JPCERTコーディネーションセンター『Weekly Report 2026-06-17号』（2026年6月17日公開）
- ［15］Canadian Centre for Cyber Security『Google Chrome security advisory (AV26-561) – Update 1』（2026年6月9日公開）
- ［16］Hong Kong Computer Emergency Response Team Coordination Centre『Google Chrome Multiple Vulnerabilities』（2026年6月9日公開）
報道機関
- ［11］The Hacker News『Chrome V8 Zero-Day CVE-2026-11645 Exploited in the Wild - Patch Now』（2026年6月9日公開）
- ［12］The Hacker News『CISA Adds Cisco, Chrome, and Arista Flaws to KEV Catalog Amid Active Exploitation』（2026年6月10日公開）
- ［17］Wired Business Media『Google Patches 5th Chrome Zero-Day Exploited in 2026』（2026年6月9日公開）
- ［18］株式会社ニュースガイア『「Chrome」にセキュ更新、脆弱性74件を修正 - 一部で悪用も』（2026年6月9日公開）
- ［19］株式会社ニュースガイア『「Arista EOS」ゼロデイ含む脆弱性3件を悪用リストに追加 - 米当局』（2026年6月11日公開）
更新記録
- 2026年6月10日：公開した。
- 2026年6月11日：Operaの6月11日の告知（出典13）とSecurity NEXTの6月11日の記事（出典19）を加え、「時系列」「対象の製品と版」「悪用の状況」を改めた。
- 2026年6月15日：Microsoftのセキュリティ更新ガイドの項目（出典5）を加え、「時系列」「対象の製品と版」「注」を改めた。
- 2026年6月17日：GoogleのChromeOSの告知（出典3）とJPCERT/CCのWeekly Report（出典10）を加え、「時系列」「対象の製品と版」「悪用の状況」「修正と回避策」「注」を改めた。
- 2026年6月24日：GoogleのChromeOSの告知の6月24日の更新（出典3）を「出典」に反映した。
- 2026年7月23日：NVDの項目の7月23日の更新（出典9）を「出典」に反映した。
- 2026年11月2日：MicrosoftのEdgeのセキュリティ更新のリリースノートの11月2日の更新（出典4）を「出典」に反映した。