Googleは2026年10月29日（現地時間）、Chromeの安定版（Stable）と延長安定版（Extended Stable）をデスクトップ向けに更新し、バージョンを156.0.8078.79/.80（WindowsとMac）、156.0.8078.79（Linux）にしました。この更新には21件のセキュリティ修正が含まれ、内訳は「Critical」が1件、「High」が19件、「Medium」が1件です。Chromeを閲覧や検証に使う制作者・開発者は、バージョンの確認と再起動を済ませておきたいところです。
この記事の目次
Criticalは「MediaStream」のメモリ破損
Chrome Releasesの告知によると、Criticalの1件はCVE-2026-76024で、MediaStreamにおけるメモリ破損です。2026年10月21日に、Xinyang Ge氏が報告したものです。MediaStreamは、カメラ・マイクや画面共有などのメディアストリームを扱う部分です。窓の杜は、メモリ破損について、単なるアプリのクラッシュからシステムの乗っ取りまで起こりうると説明しており、早めの対応が望ましいとしています。
告知では、バグの詳細へのアクセスは、多くのユーザーが修正版に更新されるまで制限されることがあると説明しています。また、この更新で悪用が確認されているかどうかは、Chrome Releasesの告知に記載がなく、窓の杜の記事にも、悪用や実際の攻撃事例に関する記述はありません。
Highの19件は、FileSystemやQuotaなどブラウザのコンポーネントに広がる
CVEの一覧を、部品ごとに整理しました（以下、CVE番号の「CVE-2026-」は省略します。Highの19件にMediumの1件を加えた20件の分類です）。
- FileSystem：Use after free（76025、76028）とメモリ破損（76030）。Mediumの境界外読み取り（119272）もFileSystem
- Quota：メモリ破損（119265）とUse after free（119266）
- CacheStorage：メモリ破損（76027）と入力検証の不備（119270）
- Skia：入力検証の不備（119261）とUse after free（119271）
- そのほか：Autofill（76026）、Network（76029）、Input（76031）、Frames（119260）、V8（119262）、GarbageCollection（119263）、Dawn（119264）、DOM（119267）、Editing（119268）、Blink（119269）
V8はJavaScript／WebAssemblyのエンジン、DawnはWebGPUの実装、Skiaはグラフィックスライブラリ、Blinkはレンダリングエンジンです。つまり、特定の機能に限らず、ブラウザの広い範囲に修正が入った更新です。告知の一覧では、21件のうち12件がGoogleの報告、9件が外部の研究者の報告で、外部の報告のうち4件はXinyang Ge氏です。
手元のChromeで確認する手順
- アドレスバーに
chrome://settings/helpを入力して開く：現在のバージョンが表示され、更新があれば自動で取得されます。 - バージョンが156.0.8078.79以上であることを確認する：更新を適用するには、Chromeの再起動が必要です。
- 検証用のブラウザやヘッドレスChromeも確認する：Puppeteerなどで固定バージョンのChromeを使っている環境は、自動更新されません。
- Chromiumベースのブラウザ（Edge、Braveなど）は、それぞれの配布元の更新を確認する：Chromeの更新と同じタイミングで配信されるとは限りません。
配信は、告知によると数日から数週間かけて順次行われます。すぐに最新版が出ないこともあります。手動で確認しても更新が見つからないときは、少し時間をおいてから再確認してください。
検証端末とCIで確認しておきたいこと
告知は、このビルドの変更の全体はLogで確認できるとしており、この記事ではセキュリティ修正の範囲だけを扱っています。制作会社や自社サイトの運営では、次の点を押さえておきたいところです。
- 社内の検証端末が、自動更新を止めた状態になっていないかを確認する
- CIで固定バージョンのChromeを使うテストは、更新の運用ルール（いつ上げるか）を決めておく
- リモートデスクトップや共有端末のChromeは、再起動を促す運用にしておく
この記事では、各CVEの攻撃条件や悪用の難しさまでは確認していません。詳細は、Googleが公開を段階的に進めるバグ情報が出そろってから確認してください。
Criticalを含む更新は、再起動を早めに
今回の更新で目を引くのは、Criticalの1件よりも、21件のうち12件がGoogle自身の報告だという点です。社内の検査で見つかった不具合が、安定版の更新として次々に届いているように見えます。制作の現場では、検証用ブラウザやCIのChromeのバージョンを固定したまま放置しやすいので、「固定する理由」と「上げるタイミング」を決めておくことが、表示の検証と同じくらい大切だと考えます。
なお、悪用が確認されたという記載はないため、過度に心配する必要はなく、作業の区切りで再起動すれば十分だと見ています。これは私見で、Googleの見解ではありません。
参考にした情報
- Chrome Releases「Stable Channel Update for Desktop」（2026年10月29日）
- 窓の杜「Google Chrome」に21件の脆弱性、修正版が公開（2026年10月30日）
2026年11月1日時点の情報です。
