ChromeやEdgeの土台Chromiumに悪用済みの脆弱性2件。9月上旬の更新で修正、ブラウザの再起動を

01発表されている事実

1. 9月2日

   マイクロソフトがEdge 152.0.4191.62を公開。「Chromiumチームが CVE-2026-85046 の悪用を報告している」とし、この更新で修正

2. 9月4日

   CISAが CVE-2026-85046（V8の型の取り違え）をKEVに追加。マイクロソフトがEdge 152.0.4191.66を公開し、同じく悪用が報告された CVE-2026-87491 を修正

3. 9月9日

   CISAが CVE-2026-87491（V8の範囲外書き込み）をKEVに追加

CISAは、Chrome、Edge、OperaなどChromiumを使う複数のブラウザが影響を受けうるとしています。攻撃者や被害の規模は公表されていません。

V8はWebページのJavaScriptを高速に動かす部品です。ここに穴があると、利用者が何もダウンロードしなくても、ページを開いただけで攻撃が始まることがあります。改ざんされた正規のサイトや、検索広告・メールのリンクから誘導されたページが入口になりえます。CISAの説明では、実行されるのはブラウザの「サンドボックス」の内側です。ただし、別の脆弱性と組み合わせてパソコン本体に進む攻撃も知られているため、更新を後回しにしないことが大切です。

02影響を受ける人

パソコンでChromeやEdgeを使っているすべての人です。会社の業務用パソコンも同じです。ブラウザは自動で更新をダウンロードしますが、ブラウザを閉じずに使い続けると古い版のまま動き続けます。何日もブラウザを開きっぱなしにしている人は、とくに注意が必要です。

03今すぐやること

1. Chromeを更新する。右上のメニュー→［設定］→［Chromeについて］を開くと、更新の確認と適用が始まります。「再起動」が出たら押します。
2. Edgeを更新する。［設定］→［Microsoft Edgeについて］を開きます。152.0.4191.66以降になっていれば今回の2件は修正済みです。
3. ほかのChromium系ブラウザも確かめる。Operaなどを使っている場合は、それぞれの更新画面で最新版にします。
4. 会社では配布状況を確かめる。管理ツールでブラウザの版をそろえている場合は、古い版の端末が残っていないか確認します。

04同じことを防ぐには

ブラウザの脆弱性は、見るだけで攻撃が成り立つことがあります。一日の終わりにブラウザを閉じる、更新の通知が出たらすぐ再起動する、という習慣が一番の対策です。そのうえで、危険なサイトへの接続を止める機能のあるセキュリティソフトを使うと、更新までの間の守りが増えます。Windows標準のMicrosoft Defenderが有効かどうかも確かめてください。図鑑の「セキュリティソフト」の分類で比べられます。