2026.09.08業界のうごき

Chromeの更新を、今回だけは後回しにできなかった｜V8のゼロデイが実際に使われていた

ブラウザの更新を追いかけるのはやめた、と一か月前に書いた。
その一か月後に、追いかけないと駄目な回が来た。

一か月ちょっと前に、ブラウザの更新を追いかけるのはやめたという記事を書いた。

二週間ごとに新しくなるものを全部見ていられない、という話だった。
いまでもその判断は間違っていないと思っている。
ただ、その一か月後に、追いかけないと駄目な回が来た。

何があったのか

2026年9月3日、Google が Chrome の安定版を 152.0.7977.82／.83（WindowsとMac）、152.0.7977.82（Linux）へ更新した。
この更新には12件のセキュリティ修正が入っている。

そのうちの1件が CVE-2026-85046 で、深刻度は High。
中身は V8 の型の取り違えだ。
V8 は Chrome の JavaScript を動かしている部分なので、要するにページを開くだけで踏む可能性がある場所にある。

報告したのは Salvatore Gulizia という外部の研究者で、報告日は2026年8月4日。
報奨金は1,000ドルと書かれている。

この回で目を引くのは、リリースノートの最後に一行だけ添えられた文だった。

「Google is aware that an exploit for CVE-2026-85046 exists in the wild.」
この脆弱性を突く攻撃コードが、すでに世の中に存在することを Google は把握している、という意味になる。

翌9月4日、アメリカの CISA がこれを Known Exploited Vulnerabilities カタログ、いわゆる KEV に追加した。
政府機関に対する対応期限は9月18日。
分類は CWE-843（型の取り違え）で、NVD が付けた CVSS は8.8。
NVD の説明文には「execute arbitrary code inside the sandbox via a crafted HTML page」とある。

CISA の注記には、影響が Chrome だけで終わらないことも書かれている。
Chromium を使っているブラウザは同じ穴を抱えていて、Edge も Opera も名前が挙がっていた。

僕がひっかかったところ

まず、一か月前の自分の書き方が雑だったことに気づいた。

あのとき僕が「追わない」と決めたのは、新機能のほうだった。
新しい CSS が使えるようになったとか、開発者ツールにタブが増えたとか、そういう話を全部拾うのはやめる、という意味で書いた。
ところが読み返すと、更新そのものを後回しにしていいように読める。
自分の中では分けていたつもりのものが、文章の上では一緒くたになっていた。

次に、説明文の「inside the sandbox」という部分で少し立ち止まった。

サンドボックスの中で任意のコードが動く、と書いてある。
つまり、これ一発でパソコン全体を持っていかれるという話ではない。
Chrome はページを動かす部分を隔離していて、その壁はまだ生きている。

安心していい話に見えて、僕はあまり安心できなかった。
サンドボックスの中には、いま開いているタブがある。
僕がサイトの管理画面にログインしている状態も、そこにある。
壁の外側が無事でも、壁の内側にあるものを守ったことにはならない。

三つめは報奨金の額だった。
1,000ドル。
実際に悪用されていた穴の報告に対する金額としては、ずいぶん小さく見える。
攻撃側でこの手の脆弱性が取引される値段は桁が二つも三つも違う、という話をよく聞くので、善意で報告する側と黙って売る側の落差はここに出てしまう。
誰が悪いという話ではなくて、構造としてそうなっているのが厄介だと思った。

四つめは時間だ。
報告が8月4日で、修正が9月3日。
ちょうど一か月ある。
その一か月、僕は毎日そのブラウザで管理画面を開いていた。
穴があること自体は避けようがないとして、開いている期間を自分では短くできないというのが、はっきりした事実として残った。

そして最後に、自分の力の入れどころがずれていたことに気づいた。

この半年、僕がやってきたのはサイト側を固める作業ばかりだった。
管理画面に二段階認証を入れて、ログイン試行を絞って、権限を分けた。
それはそれで必要な作業だ。
ただ、そのサイトの管理画面を開いている入り口は、いつも僕のブラウザだった。
鍵を何個つけても、鍵を開ける側の手が握られていたら意味がない。

で、僕はどうするか

更新を「新機能」と「穴埋め」に分けて考えることにした。

新機能はこれまでどおり追いかけない。
穴埋めは、気づいた日に当てる。
同じ「アップデート」という言葉で呼ばれているせいで一緒に判断してしまっていたけれど、急ぐ理由がまったく違う。

確認の仕方も決めておいた。
Chrome なら設定の「Chromeについて」を開けば、そこでバージョンが出て、古ければその場で更新が始まる。
再起動するまで反映されないので、開いたら再起動まで済ませる。
僕はタブを大量に開けたまま何週間も再起動しない癖があったので、ここがいちばんの弱点だった。

管理画面を開くブラウザを分けることも始めた。
普段の調べものと、サイトの管理をする場所を、別のプロファイルにする。
同じ穴を踏んだとしても、そのとき壁の内側にあるものが減る。

もうひとつ、KEV というカタログの存在は個人でも使えると思った。
あれはアメリカの政府機関向けに「これは実際に攻撃されているから期限までに直せ」と指定するリストで、期限つきで並んでいる。
個人サイトを運営していると、無数にある脆弱性のどれを気にすればいいのか判断がつかない。
実際に使われているものだけが載っているリストなら、優先順位をそのまま借りられる。

ブラウザを追いかけないという方針は変えない。
変えたのは、追いかけないものの範囲のほうだった。