Trusted Design

解説:

CVE-2026-85046について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-85046は、Google ChromeのV8 JavaScriptおよびWebAssemblyエンジンにおける型混同（Type Confusion）の脆弱性です。これは、CWE-843: Incompatible Typeを使用したリソースへのアクセスとして分類されます。ソフトウェアがメモリ内に実際に格納されているデータ型とは異なるデータ型としてオブジェクトを誤って処理するときに発生するメモリ安全性に関する脆弱性の一種です。特にV8のようなJavaScriptエンジンでは、最適化されたコンパイラパスがメモリ内での配列やオブジェクトの表現に関する正確な情報に依存しているため、オブジェクト型に関する誤った仮定は危険なものとなる可能性があります。この脆弱性は、PACKED_ELEMENTSを含む配列が誤ってPACKED_SMI_ELEMENTSマップを受け取ってしまうV8コンパイラの動作に起因しており、最終的にJavaScriptヒープ内での任意の読み取り/書き込みアクセスに変換される可能性があります。

1.1 影響

本脆弱性が悪用されると、リモートの攻撃者は、特別に細工されたHTMLページに被害者がアクセスすることで、Chromeのサンドボックス内で任意のコードを実行できるようになります。ダウンロードや追加の操作は不要で、悪意のあるウェブページを読み込むだけで攻撃が成立します。サンドボックス化によって直接的なオペレーティングシステムの侵害は限定されますが、ブラウザのサンドボックスエスケープは、完全なデバイスの乗っ取りを実現するために、しばしば別の脆弱性と連鎖して悪用されます。潜在的な攻撃者の行動には、ブラウザのメモリへのアクセス、認証情報の窃盗、セッションハイジャック、マルウェアの展開、および連鎖する脆弱性によるさらなる特権昇格が含まれます。

1.2 深刻度

本脆弱性はCVSSv3.1でベーススコア8.8の「高」として評価されています。HKCERTは、この脆弱性がすでに活発に悪用されていることを鑑みて、全体のリスクレベルを「極めて高いリスク」と評価しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のバージョンより前のGoogle Chromeが影響を受けます。 * WindowsおよびmacOS: 152.0.7977.82 / 152.0.7977.83 より前のバージョン * Linux: 152.0.7977.82 より前のバージョン

2.2 影響を受ける設定

不明。V8 JavaScriptエンジンはChromeのコアコンポーネントであり、特定のユーザー設定に依存するものではありません。

3. 影響を受けた時の兆候

CVE-2026-85046の悪用や疑わしいブラウザのアクティビティを検出するためには、以下の兆候の組み合わせに注意を払う必要があります。 * Chromeレンダラーのクラッシュとその後の異常なプロセス活動。 * Chromeプロセスツリーから予期せぬプロセスが起動する。 * EDR（Endpoint Detection and Response）またはエンドポイント保護ツールによって生成されるブラウザ悪用アラート。 * ChromeまたはV8に関連する疑わしいメモリ破壊の挙動。 * 異常な活動の直前に、新たに登録された、侵害された、または既知の悪意のあるウェブサイトへのアクセス。 * ブラウザセッション後の予期せぬ実行可能ファイルまたはスクリプトの活動。 * Chromeレンダラーの侵害後に、2番目の脆弱性を悪用しようとする試み。

4. 推奨対策

4.1 本対策

Google Chromeを以下のバージョンに速やかに更新してください。 * WindowsおよびmacOS: 152.0.7977.82 / 152.0.7977.83 * Linux: 152.0.7977.82

このアップデートは、2026年9月3日にリリースされた重要な安定版チャネルアップデートに含まれています。Chromeを最新の状態に保つことが、現実世界の攻撃に対する最も単純で効果的な防御策の一つです。

4.2 暫定回避策（緩和策）

本対策以外の具体的な暫定回避策は言及されていません。

他に解説すべき観点

• ゼロデイ攻撃: 本脆弱性は、Googleが2026年に対応した6番目のChromeゼロデイ脆弱性であり、パッチが利用可能になる前にすでに活発に悪用されていたことが確認されています。Googleは、ユーザーがブラウザを更新する前に攻撃者が修正をリバースエンジニアリングするリスクを減らすため、技術的な悪用詳細の公開を意図的に控えています。
• 発見者: セキュリティ研究者Salvatore Gulizia氏（別名Serotav）によって2026年8月4日にGoogleに報告され、同氏は1,000ドルの報奨金を受け取りました。

参照したサイト

• CVE-2026-85046: Chrome V8 Zero-Day Exploited - SOC Prime
• Demystifying CVE-2026–85046: Google Patches Yet Another Actively Exploited Chrome V8 Zero-Day | by Keyur - Medium
• Google patches actively exploited Chrome zero-day (CVE-2026-85046) - Help Net Security
• THREAT ADVISORY Google Chrome Zero-Day (CVE-2026-85046) September 4, 2026
• CVE-2026-85046 | Tenable®
• Two critical Chrome flaws put users at risk on malicious websites - Malwarebytes
• Google Chrome Multiple Vulnerabilities - HKCert