Chrome 157が安定版に、WebGPU・WebGLを含む脆弱性213件を修正

ニュース

Chrome 157が安定版に。脆弱性213件を修正し、Criticalは7件のうち4件がDawn・ANGLE・WebGLなどGPU描画の層。開発・検証環境で確認したい点を整理します。

2026.11.04

Googleは2026年11月3日（米国時間）、デスクトップ版Chrome 157を安定版に昇格させました。Windows・Mac・Linux向けで、バージョンはLinuxが157.0.8103.38、Windows・Macが157.0.8103.38/.39です。Chrome Releasesの告知によると、このアップデートには213件のセキュリティ修正が含まれ、更新は「今後数日から数週間」かけて順次行き渡ります。深刻度の内訳は、Criticalが7件、Highが77件、Mediumが75件、Lowが54件です（Chrome Releasesの一覧で数えた値で、Security NEXTの報道とも一致します）。

この記事では、Chrome 157のセキュリティ修正のうち、Web制作・開発の現場に関わる部分を整理します。ブラウザ側の話なので、サイトのコードを直す必要は基本的にありませんが、開発用ブラウザや検証環境、社内PCの更新を確認するきっかけにしてください。

この記事の目次

Criticalの7件のうち4件は、WebGPU・WebGLなどGPU描画の層
Highには、V8やPDFium、メディア処理も並ぶ
開発・検証環境で確認したいChromeのバージョン
筆者の見方：WebGL・WebGPUを扱う人は、検証用ブラウザを先に更新する
参考にした公式情報・報道

Criticalの7件のうち4件は、WebGPU・WebGLなどGPU描画の層

Chrome Releasesが挙げているCriticalの脆弱性は次の7件です。

CVE-2026-121156：Dawnのバッファオーバーフロー（報奨金10,000ドル）
CVE-2026-121229：ANGLEのメモリ破損（同1,000ドル）
CVE-2026-121246：WebGLのUse after free
CVE-2026-121035：PrerenderのUse after free
CVE-2026-121247：Dawnのバッファオーバーフロー
CVE-2026-121203：GeometryのUse after free
CVE-2026-121126：CoreのUse after free

7件のうち、Dawn（WebGPUの実装）が2件、ANGLEが1件、WebGLが1件と、4件がGPU・グラフィックスの層に集中しています。残りはPrerender、Geometry、Coreです。報奨金は、Criticalの7件のうち金額が出ているのは上の2件だけで、ほかは「N/A」と書かれています。

Highには、V8やPDFium、メディア処理も並ぶ

High評価の項目には、V8のType confusion（CVE-2026-121082、CVE-2026-121228）、PDFiumのType confusionやUse after free、メディア処理のバッファオーバーフロー、BackgroundFetchやFileSystemの認可に関する不備などが並んでいます。JavaScriptの実行エンジンやPDFの表示、メディアの再生といった、日常的に使う機能が広く含まれています。WebGLやANGLE、Dawnの項目もあります。

Googleは、バグの詳細やリンクについて、多くのユーザーが修正版に更新するまでアクセスを制限することがあるとしています。サードパーティのライブラリに問題があり、同じライブラリに依存する他のプロジェクトがまだ修正していない場合も、制限を続けるとのことです。詳細が公開される前に更新を済ませておくのが、最も安全な運用です。

なお、新機能については、Chromeチームが別途ブログで紹介するとしており、今回の告知には含まれていません。Web開発に影響する機能の変更は、そちらの公開を待って確認する必要があります。

開発・検証環境で確認したいChromeのバージョン

自分のChromeのバージョン：chrome://settings/helpを開くと、更新の確認と再起動の案内が出ます。157.0.8103.38以降になっていれば、今回の修正版です。
自動テストやCIのブラウザ：Chromeのバージョンを固定している環境では、更新が入っていないことがあります。PuppeteerやPlaywrightが取得するChromiumのバージョンも、あわせて見直してください。
社内・クライアントの端末：管理者がバージョンを固定していると、更新が遅れます。納品先のサイトを確認してもらう端末が古くないかも見ておいてください。

筆者の見方：WebGL・WebGPUを扱う人は、検証用ブラウザを先に更新する

ここからは筆者の見方です。213件という数字より、中身に目を向けたほうがよいと考えます。Criticalの7件のうち4件がDawn・ANGLE・WebGLで、HighにもWebGLやANGLE、Dawnの項目が並んでいます。WebGLやWebGPUを使ったコンテンツを作っている人は、さまざまなページを開く開発・検証用のブラウザを、早めに更新する理由が具体的にあります。

報告者の内訳にも特徴があります。Chrome Releasesの一覧を当サイトで数えたところ、報告者が「Google」となっている項目が130件ありました。「assisted by Claude」と書かれた項目も14件、「OpenAI Codex Security」と書かれた項目が7件ありました。AIの支援で見つかった脆弱性が目立つことが、件数の多さの背景にある可能性はありますが、これは筆者の推測で、Googleは理由を説明していません。また、2023年3月に報告されたHighのCVE-2026-121112も今回修正されています。詳細の公開が制限されるため、件数だけで危険度を測ることは難しいと感じます。

参考にした公式情報・報道

2026年11月4日時点の情報です。