Googleは2026年10月29日、Chrome 156の追加セキュリティ更新を公開した。修正は21件で、MediaStreamのメモリ破損「CVE-2026-76024」を最上位のCRITICALと評価。Windows・macOSは156.0.8078.79/.80、Linuxは156.0.8078.79が修正版となる。配布は段階的で、端末ごとの更新確認が重要だ。
30秒でわかる / THE SIGNAL
Googleは2026年10月29日、Chrome 156の追加セキュリティ更新を公開した。修正は21件で、MediaStreamのメモリ破損「CVE-2026-76024」を最上位のCRITICALと評価。Windows・macOSは156.0.8078.79/.80、Linuxは156.0.8078.79が修正版となる。配布は段階的で、端末ごとの更新確認が重要だ。
2日後に追加された21件の修正
GoogleのChrome Releasesによると、10月29日付のStable／Extended Stable更新には21件のセキュリティ修正が含まれる。これは10月27日に公表されたChrome 156の52件修正とは別の更新だ。今回の内訳はCRITICALが1件、HIGHが19件、MEDIUMが1件。短期間に続けて更新が出たため、前回のパッチだけを適用した端末が残っていないかが確認点になる。
MediaStreamのCVE-2026-76024はGoogle評価CRITICAL
最も深刻とされたのは、MediaStreamコンポーネントのメモリ破損「CVE-2026-76024」。Googleは10月21日にXinyang Ge氏から報告を受けたと記している。公表されているのは脆弱性の分類と修正情報が中心で、今回の公式発表だけから具体的な悪用方法、実際の被害、攻撃の成功率を断定することはできない。GoogleによるCRITICAL評価を、そのまま未確認のCVSS数値に置き換えてはいけない。
FileSystem・V8・BlinkなどにもHIGHの修正
同じリリースでは、FileSystemのUse-after-free（CVE-2026-76025、CVE-2026-76028）、V8の入力検証不備（CVE-2026-119262）、DOMのメモリ破損（CVE-2026-119267）、BlinkのUse-after-free（CVE-2026-119269）などもHIGHとして列挙された。各CVEは発生箇所や成立条件が異なるため、すべてを同一の遠隔コード実行問題と扱うべきではない。
更新の確認はバージョンと再起動まで
Googleが案内した修正版はWindows・macOS向け156.0.8078.79/.80、Linux向け156.0.8078.79。配信は数日から数週間かけて進む見込みだ。利用者はChromeの「設定」から「Chromeについて」を開いて更新を確認し、必要に応じて再起動する。企業では管理対象端末のバージョンを棚卸しし、10月27日の更新で止まっている端末を区別することが重要になる。
何が分かっていて、何がまだ分からないか
確認できたのはGoogleによる公式修正の提供、21件という件数、製品別の配布バージョンとCVEの分類である。一方、今回の21件が実環境で悪用されたという公式記述は確認できず、Googleは修正の普及まで詳細を制限する場合があると説明している。脅威を過大に断定せず、修正版への更新という実務対応を優先したい。