Trusted Design

CVE-2026-87491 の詳細

CVEの情報

説明:
Out of bounds write in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium)

CVE更新日: 2026-09-09 01:17:05.887000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2026-09-09

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.031420000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2026-87491について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2026-87491は、Google ChromeのV8 JavaScriptおよびWebAssemblyエンジンにおける境界外書き込み（Out-of-Bounds Write、CWE-787）の脆弱性です。この脆弱性は、細工されたHTMLページを介して、リモートの攻撃者がブラウザのサンドボックス内で任意のコードを実行することを可能にします。Googleは、この脆弱性がすでに悪用されていることを確認しています。

1.1 影響

  • リモートの攻撃者が、細工されたWebコンテンツをユーザーに読み込ませることで、Chromeのブラウザサンドボックス内で任意のコードを実行できます。
  • 境界外書き込みによりメモリが破損し、プロセスメモリからの情報漏洩やブラウザのクラッシュを引き起こす可能性があります。
  • 単独ではサンドボックス内でのコード実行にとどまりますが、別のサンドボックスエスケープや権限昇格の脆弱性と組み合わせることで、完全なオペレーティングシステムへの侵害につながる可能性があります。
  • CISA（サイバーセキュリティ・インフラセキュリティ庁）は、この脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加しており、実際に悪用されていることが確認されています。

1.2 深刻度

  • Googleは、この脆弱性のChromiumセキュリティ深刻度を「Medium」と評価しています。
  • 一方で、NVD（National Vulnerability Database）ではCVSSスコア8.8（High）が割り当てられており、HKCERTは「Extremely High Risk」と評価しています。
  • Googleが「すでに攻撃で悪用されていることを認識している」と公表しているため、運用上のリスクは重大であると考えられています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • すべてのサポートされているデスクトッププラットフォーム（Windows、macOS、Linux）。

2.2 影響を受ける設定

  • Google Chromeのバージョン153.0.8010.36より前のリリース（Linux版）。
  • Google Chromeのバージョン153.0.8010.36/.37より前のリリース（Windows/macOS版）。
  • 脆弱なV8エンジンを組み込んでいるChromiumベースのブラウザも影響を受けます。

3. 影響を受けた時の兆候

  • V8ヒープ破損やOilpanアロケーターの障害を示す署名を含む、予期しないChromeレンダラープロセスのクラッシュ。
  • Webページ読み込み直後に、chrome.exeのレンダラープロセスから新規登録されたり評判の低いドメインへの不審なアウトバウンド接続。
  • Chromeによって予期せず子プロセス（コマンドシェルやスクリプトホストなど）が生成され、サンドボックスエスケープの連鎖を示唆する場合。
  • Chromeのバージョンが153.0.8010.36より古いユーザーに関するブラウザテレメトリー。

4. 推奨対策

4.1 本対策

  • Google Chromeを直ちに最新の安定版にアップデートしてください。
    • WindowsおよびmacOSの場合：Chrome 153.0.8010.36/.37以降。
    • Linuxの場合：Chrome 153.0.8010.36以降。
  • アップデート後にはブラウザを再起動し、パッチが適用されたV8エンジンがすべてのレンダラープロセスにロードされていることを確認してください。

4.2 暫定回避策（緩和策）

  • アクセス制限: WebフィルタリングやDNSセキュリティを実装し、信頼できないWebサイトや高リスクのWebサイトへのアクセスをブロックすることで、悪意のあるHTMLページへのユーザーの露出を減らします。
  • 監視の強化: EDRおよびSIEMツールを活用し、異常なブラウザの挙動（chrome.exeから予期しない子プロセスが起動する、V8コンポーネントで頻繁なクラッシュが発生するなど）を監視し、境界外書き込みの試行の兆候を検出します。
  • Chromiumベースブラウザの更新: Microsoft Edge、Brave、Opera、Vivaldiなどの他のChromiumベースのブラウザを使用している場合、各ベンダーが提供するセキュリティアップデートを確認し、適用してください。
  • パッチ適用状況の確認: 企業の管理者は、Chromeの自動更新に頼るだけでなく、エンドポイント管理ツールやブラウザ管理ツールを使用して、すべてのエンドポイントでパッチが展開されていることを確認し、更新後にChromeが実際に再起動されていることを検証してください。
  • 特権ユーザーへの注意: インターネットに接続しているユーザーや特権アカウント（管理者、開発者、財務チームなど）へのパッチ適用を優先し、特に注意を払ってください。

その他解説すべき観点

  • ゼロデイ脆弱性: この脆弱性は、Googleがパッチを公開する前にすでに攻撃で悪用されている、いわゆる「ゼロデイ脆弱性」です。
  • 発見者: ソウル大学Compsec LabのJihyeon Jeong氏によって、2026年8月6日にGoogleに報告されました。
  • 公開日: Googleは、2026年9月8日にChrome 153を安定版チャンネルにリリースし、この脆弱性に対する修正を提供しました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る