Google ChromeのゼロデイCVE-2026-85046が実悪用、CISA KEV対処期限は9月18日 — V8の型混同でサンドボックス内RCE、152.0.7977.82未満が対象

Google ChromeのJavaScript・WebAssembly実行エンジン「V8」に存在する脆弱性CVE-2026-85046が、実際の攻撃で悪用されていることが明らかになりました。

Googleは2026年9月3日、デスクトップ版Chromeのセキュリティ更新を公開し、CVE-2026-85046について「実環境で悪用するエクスプロイトが存在することを認識している」と公表しました。

CVE-2026-85046はV8の型混同(Type Confusion)に関する脆弱性で、Chromium Security SeverityではHighと評価されています。CVEレコードによると、Chrome 152.0.7977.82未満では、攻撃者が細工したHTMLページを利用してChromeのサンドボックス内部で任意コードを実行できる可能性があります。

修正版はWindowsとmacOSが152.0.7977.82/.83、Linuxが152.0.7977.82です。Android版Chromeも152.0.7977.82が公開されており、Googleは対応するデスクトップ版と同じセキュリティ修正を含むと説明しています。

ただし、今回確認されているのは「Chromeのサンドボックス内でのコード実行」です。GoogleはCVE-2026-85046単体でOS全体の権限を取得できるとは公表しておらず、サンドボックス脱出を可能にする別の脆弱性と組み合わされているかどうかも明らかにしていません。

CVE-2026-85046の概要

共通脆弱性タイプ一覧(Common Weakness Enumeration:CWE)ではCWE-843「Access of Resource Using Incompatible Type」に分類されています。

2026年9月5日時点のCVEレコードでは、米国サイバーセキュリティ・社会基盤安全保障庁(Cybersecurity and Infrastructure Security Agency:CISA)の認定データパブリッシャー(Authorized Data Publisher:ADP)による共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS) v3.1の評価として8.8(High)が掲載されています。

ベクトルはAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hです。ネットワーク経由、攻撃複雑性は低、事前権限は不要ですが、利用者が細工されたコンテンツへアクセスするなどの操作が必要と評価されています。

なお、Google自身がChrome Security Severityで付与している深刻度はHighです。CVSS 8.8とGoogleのHigh評価はいずれも、更新を優先すべき重大なブラウザ脆弱性であることを示しています。

Googleが実悪用を公式確認

Googleは9月3日のChrome Releasesで、CVE-2026-85046について「Google is aware that an exploit for CVE-2026-85046 exists in the wild」と明記しました。

つまり、研究者が概念実証(Proof of Concept:PoC)を作成しただけではなく、実際の環境で利用されるエクスプロイトの存在をGoogleが認識している状態です。

一方、Googleは攻撃の詳細を公開していません。

• 誰がCVE-2026-85046を悪用しているのか
• 攻撃がいつ始まったのか
• どの国・地域や組織が標的になっているのか
• 被害を受けた利用者数
• 他の脆弱性と組み合わせた攻撃チェーンの有無
• サンドボックス脱出まで行われているか

これらは2026年9月5日時点で公表されていません。

Googleは、修正版が十分に普及するまでバグの詳細や関連リンクへのアクセスを制限する場合があると説明しています。これは、修正内容から別の攻撃者が脆弱性を再現し、更新前の利用者を狙うことを難しくするための一般的な対応です。

CISAが9月4日にKEVへ追加

CISAは2026年9月4日、CVE-2026-85046を既知の悪用が確認された脆弱性カタログ(Known Exploited Vulnerabilities:KEV)へ追加しました。CISAが設定した対応期限は9月18日です。

KEVは、単にCVSSが高い脆弱性を一覧化したものではなく、実際の攻撃で悪用されている証拠がある脆弱性をCISAが収録するカタログです。今回の登録は、Google自身による実悪用確認に加え、米政府機関側でも優先対応対象として扱われていることを示します。

CISAのKEV登録情報では、拘束的運用指令(Binding Operational Directive:BOD) 26-04「Prioritizing Security Updates Based on Risk」に沿った対応が示されています。対象となる米国連邦民間行政機関では、CVE-2026-85046について9月18日までの対応が求められます。

この期限が日本企業や一般利用者へ直接適用されるわけではありません。しかし、Googleが実悪用を確認し、CISAもKEVへ追加したことから、通常の定期更新を待たず優先的に修正版へ更新すべき脆弱性であると判断できます。

V8とは何か

V8はGoogleが開発するオープンソースのJavaScript・WebAssemblyエンジンです。ChromeではWebページ上のJavaScriptなどを解析・最適化・実行する中核コンポーネントとして利用されています。

現在のWebサイトは、画面表示だけでなく、入力処理、ログイン、Webアプリケーション、オンラインサービスなど多くの機能をJavaScriptへ依存しています。

そのためV8は、利用者がWebページを閲覧する際に外部から提供されたコードを高速に処理する必要があります。ブラウザの中でも攻撃対象になりやすい重要な部分の1つです。

CVE-2026-85046では、このV8に型混同が存在しました。

「サンドボックス内RCE」とは何を意味するのか

今回の記事で最も重要な注意点の1つが「リモートコード実行」という表現です。

リモートコード実行(Remote Code Execution:RCE)と聞くと、攻撃者が直ちにWindowsやmacOS全体を乗っ取り、管理者権限で任意の操作を実行できるように見えるかもしれません。

しかしCVE-2026-85046のCVEレコードが明示しているのは、Chromeの「サンドボックス内部」で任意コードを実行できるという影響です。

Chromeでは、Webコンテンツを処理するプロセスをOS上の他の領域から分離するサンドボックスを利用しています。仮にWebページを処理するプロセスでコード実行が成立しても、そのコードが直接OSのあらゆるファイルや機能へアクセスできないよう制限する多層防御です。

したがってCVE-2026-85046単体について、Googleが公表している情報から「Chromeを開いただけでPC全体を完全に乗っ取れる」と断定することはできません。

実際の高度なブラウザ攻撃では、ブラウザ内部でコードを実行する脆弱性と、サンドボックスを脱出したり権限を高めたりする別の脆弱性を組み合わせることがあります。しかし、今回Googleはそのような攻撃チェーンがCVE-2026-85046で使われているかを公表していません。

一方で、「サンドボックス内だから危険ではない」という意味でもありません。ブラウザ内部でのコード実行は攻撃チェーンの重要な起点になり得るため、Googleが実悪用を確認した以上、更新優先度は高いと判断すべきです。

修正版は152.0.7977.82/.83

Googleが9月3日に公開したデスクトップ版Chromeの修正版は次の通りです。

WindowsとmacOSでは環境によって末尾が.82または.83となります。Googleはいずれも同じStable Channel更新として案内しています。

また、Googleは同日、一部利用者向けにChrome 153の早期安定版(Early Stable)も展開しています。したがって、152.0.7977.82/.83より新しい修正済みバージョンを利用している場合は、単純に「152ではないから危険」と判断する必要はありません。

重要なのは、152系を利用している場合に152.0.7977.82未満へとどまっていないこと、またChromeが提供する最新のStable更新を適用していることです。

Android版にも同じセキュリティ修正

Googleは9月3日にAndroid版Chrome 152.0.7977.82も公開しました。

Chrome Releasesでは、Android版は特記がない限り、対応するWindows・macOSのデスクトップ版と同じセキュリティ修正を含むと説明しています。

そのためデスクトップ版だけではなく、Android端末のChromeについてもGoogle Playを通じた更新状況を確認することが重要です。

一方、iOS版ChromeはAppleのWebKitを利用するなど実装条件が異なるため、本記事ではCVE-2026-85046の対象として一括して扱いません。今回Googleが示したCVEの影響範囲と更新情報に沿って、デスクトップ版およびAndroid版の更新を確認します。

更新には12件のセキュリティ修正を含む

9月3日のデスクトップ版Chrome更新には、CVE-2026-85046を含む12件のセキュリティ修正が含まれています。

Googleが外部研究者の報告として列挙しているものには、V8の型混同だけでなく、CrashReportingの境界外読み取り、Networkの不完全なクリーンアップ、Compositingの解放後使用、V8の競合状態、WebGLの境界外書き込みなどがあります。

ただし、Googleが「実環境で悪用するエクスプロイトが存在する」と明示したのはCVE-2026-85046です。

同じ更新に含まれる他の11件についてまで「実悪用済み」と表現するのは正確ではありません。

Chromeを更新しただけで終わりにしない

Chromeは通常、自動的に更新ファイルを取得します。しかし更新ファイルを取得した後も、ブラウザを再起動するまで新しいバージョンへ切り替わらない場合があります。

利用者はChromeの設定画面から「Chromeについて」を開き、更新を確認したうえで、再起動が要求された場合はブラウザを再起動してください。

企業でChromeを管理している場合は、端末管理製品やブラウザ管理ポリシーなどを利用し、インストール済みバージョンが修正版以上になっているか確認します。

単に「自動更新を有効にしているから大丈夫」と判断するのではなく、実際に端末へ修正版が適用されていることを確認するのが安全です。

企業環境で優先して確認すべきこと

1.Chromeのバージョンを確認する

WindowsとmacOSでは152.0.7977.82/.83以降、Linuxでは152.0.7977.82以降へ更新されているか確認します。より新しいStable版を利用している場合は、そのバージョンへ最新のセキュリティ更新が適用されていることを確認してください。

2.ブラウザの再起動を徹底する

バックグラウンドで更新を取得していても、長期間Chromeを起動したままの端末では旧バージョンが動作し続ける場合があります。管理対象端末では、必要に応じて利用者へ再起動を促してください。

3.更新を固定・延期している端末を確認する

業務アプリケーションとの互換性確認などを理由にChromeのバージョンを固定している企業では、通常の自動更新より影響を受けやすくなります。

今回Googleが実悪用を確認しているため、152.0.7977.82未満へ固定している場合は、互換性リスクとセキュリティリスクを比較したうえで速やかな更新を検討してください。

4.他のChromium系ブラウザもベンダー情報を確認する

Microsoft Edge、Brave、Opera、Vivaldiなど、Chromiumを基盤とするブラウザはV8を利用します。ただし、各製品がどのChromiumバージョンを採用し、いつ修正版を取り込んだかはベンダーごとに異なります。

そのためChromeのバージョン番号をそのまま他ブラウザへ当てはめず、それぞれのベンダーが公開するセキュリティ更新を確認してください。

5.侵害を断定できるIoCは現時点で公開されていない

Googleは攻撃キャンペーンの詳細や侵害指標(Indicator of Compromise:IoC)を公開していません。

そのため、特定のURLやファイルが存在しないからCVE-2026-85046の影響を受けていない、と判断することはできません。まずは修正版への更新を優先し、組織で不審なブラウザ挙動や関連するセキュリティアラートを確認した場合は通常のインシデント対応として調査します。

CVSS 8.8でも優先度が高い理由

CVE-2026-85046のCVSS v3.1は8.8で、10.0ではありません。

それでも今回の対策優先度が高い最大の理由は、Google自身が実悪用を確認し、CISAもCVE-2026-85046をKEVへ追加していることです。

CVSSは脆弱性そのものの技術的な性質を共通の基準で評価するために有用ですが、「現在どれだけ攻撃者に使われているか」をそのまま表す数値ではありません。

今回のCVSSでは利用者操作(UI:R)が必要で、サンドボックス内のコード実行として評価されています。そのため、認証不要・利用者操作不要でOS全体へ直接影響する脆弱性と比べればスコアは低くなります。

しかしブラウザは日常的に外部のWebコンテンツを処理するソフトウェアです。Googleが実環境で悪用されるエクスプロイトの存在を確認している以上、「CVSSが9点台ではないから次回の定期更新でよい」と判断するのは適切ではありません。

現時点で分かっていないこと

CVE-2026-85046については、Googleが意図的に技術情報を制限しているため、不明な点が多く残っています。

現時点で公開情報から断定できない主な内容は次の通りです。

• 攻撃者や攻撃グループの名称
• 標的となった国、業種、利用者
• 実悪用が開始された時期
• 攻撃で利用されたWebサイトや配布経路
• CVE-2026-85046単体での実際の侵害範囲
• サンドボックス脱出脆弱性との組み合わせ
• 被害件数

したがって、「特定の国家支援型攻撃グループが悪用している」「一般利用者への大規模攻撃が始まっている」「この脆弱性だけでPCを完全制御できる」といった説明は、現時点のGoogle公式情報からは裏付けられません。

まとめ

CVE-2026-85046は、Google ChromeのV8に存在する型混同の脆弱性です。Chrome 152.0.7977.82未満が影響を受け、細工されたHTMLページによってサンドボックス内部で任意コードを実行される可能性があります。

Googleは9月3日のセキュリティ更新で、この脆弱性を悪用するエクスプロイトが実環境に存在することを公式に確認しました。Chromium Security SeverityはHighで、CISA-ADPによるCVSS v3.1評価は8.8です。

修正版はWindowsとmacOSが152.0.7977.82/.83以降、Linuxが152.0.7977.82以降です。Android版Chromeも152.0.7977.82が公開され、対応するデスクトップ版と同じセキュリティ修正が含まれています。

Googleは攻撃者、被害範囲、攻撃チェーン、IoCなどの詳細を公表していません。また、CVE-2026-85046単体でChromeのサンドボックスを脱出しOS全体を制御できるとは発表していません。

利用者や企業管理者は、攻撃の詳細が公開されるのを待つのではなく、Chromeが修正版以降へ更新されているか確認し、更新後はブラウザを再起動してください。実悪用が確認されているブラウザ脆弱性では、更新の速さそのものが重要な防御になります。

参考情報

• Google Chrome Releases:Stable Channel Update for Desktop – September 3, 2026
• Google Chrome Releases:Chrome for Android Update – September 3, 2026
• CVE.org:CVE-2026-85046
• NVD:CVE-2026-85046
• CISA:Adds One Known Exploited Vulnerability to Catalog
• BleepingComputer:Google warns of new Chrome zero-day flaw exploited in attacks