22Oct2026

Chrome 156に353件のセキュリティ修正、国家サイバー統括室が更新を呼びかけ　最も深刻な「Critical」は6件、AndroidとChromeOSも更新

2026年10月22日

Chrome 156に353件のセキュリティ修正、国家サイバー統括室が更新を呼びかけ　最も深刻な「Critical」は6件、AndroidとChromeOSも更新

時間がない人向けの30秒で理解ゾーン

Googleは米国時間10月20日、Webブラウザ「Chrome」の最新バージョン「Chrome 156」をパソコン向けに公開した。セキュリティ修正は353件で、最も深刻な「Critical（重大）」は6件。AndroidとChromeOSも同じ日に更新され、国家サイバー統括室が日本時間10月22日に適用を呼びかけた。

353件の修正、Windows・Mac・Linuxへ順に配信

Googleが公式ブログ「Chrome Releases」に告知を載せたのは、米国太平洋夏時間の10月20日13時9分（日本時間10月21日5時9分）だった。GoogleはChrome 156を安定版（一般の利用者向けに配る正式なバージョン）に引き上げた。バージョン番号はWindowsとMacが156.0.8078.47/.48、Linuxが156.0.8078.47となる。配信は今後数日から数週間かけて順に進むという。

修正の内訳は、Critical（重大）が6件、High（高）が61件、Medium（中）が197件、Low（低）が89件。Googleが使う4段階の深刻度のうち、上の2段階だけで67件に上る。

修正した脆弱性（セキュリティ上の欠陥）が実際の攻撃に使われたという記載は、今回の告知にない。直近では米国時間9月8日のChrome 153の告知で、Googleは脆弱性の1件について、悪用するための攻撃コード（exploit）が出回っていると把握していることを明記していた。

不具合の詳しい中身は伏せられた。Googleは、利用者の大半が修正済みのバージョンへ更新するまで、不具合の詳細やリンクへのアクセスを制限する場合があると告知に記している。ほかのプロジェクトも使う外部のライブラリ（ほかの開発元が作ったプログラム）に不具合があり、そちらがまだ修正されていない場合も、制限を続けるという。

修正の規模も大きかった。2週間前の米国時間10月6日にChrome 155が安定版になったとき、セキュリティ修正は247件（うちCritical 4件）で、今回はその約1.4倍。10月に入ってからの安定版の更新は、米国時間で1日、6日、13日、15日、20日の5回を数える。

Chromeの新しいバージョンは、米国時間9月8日のChrome 153から2週間おきに安定版になってきた。Googleの公開予定表では、Chrome 156の次の更新が米国時間10月27日、Chrome 157の安定版が11月3日に組まれている。

Critical 6件はメモリ破損など、AIの支援を受けた報告も

Critical 6件のうち5件はメモリ破損（プログラムが使うメモリの内容が意図せず書き換わる不具合）だった。残る1件は解放後使用（use after free。使い終えて解放したメモリの領域を、プログラムが再び使ってしまう不具合）となる。6件のCVE（脆弱性ごとに振られる世界共通の識別番号）と対象の機能は次のとおり。

CVE番号	対象の機能	不具合の種類	報告者の表記
CVE-2026-113341	Skia	メモリ破損	Google
CVE-2026-113279	Accessibility	メモリ破損	Xinyang Ge
CVE-2026-113072	CSS	メモリ破損	Xinyang Ge
CVE-2026-113280	Paint	メモリ破損	Xinyang Ge
CVE-2026-113271	Accessibility	解放後使用	Xinyang Ge (Anthropic), assisted by Claude
CVE-2026-113303	WebRTC	メモリ破損	OpenAI Codex Security (kylebot)

対象の機能は幅広い。Skiaは、文字や図形を画面に描くためのグラフィックスライブラリだ。Accessibilityは、画面の読み上げソフトなどの支援技術と情報をやり取りする機能を指す。CSSの項目は、Webページの見た目を指定する言語「CSS」をChromeが処理する部分にあたる。Paintは、ページの内容を画面に描き出す処理を指す。WebRTCは、ブラウザで音声通話やビデオ通話をするための技術だ。

報告者の欄には、AIの名前も並ぶ。CVE-2026-113271の報告者欄には「Xinyang Ge (Anthropic), assisted by Claude」とあり、AI企業AnthropicのXinyang GeがAI「Claude」の支援を受けて報告したという表記になっている。353件のうち、この表記の報告は5件（Critical 1件、High 4件）。米OpenAIの「OpenAI Codex Security」名義の報告も4件（Critical 1件、High 2件、Medium 1件）あった。Codex Securityは、OpenAIが2026年3月に研究プレビュー（試験提供）として公開した、ソフトウェアの脆弱性を探すAIのツールだ。AIがそれぞれの発見にどこまで関わったかは、告知に書かれていない。

353件のうち266件は、報告者の欄が「Google」となっている。修正の大半は、Google自身が見つけたものだ。外部の研究者への報奨金は24件に額が示され、合計は5万ドルだった。ほかに44件は、額が「TBD（未定）」とされている。最高額は、HighのCVE-2026-113101に示された1万ドルだ。この脆弱性は、SiteIsolation（サイトごとに処理を分け、ほかのサイトから情報を読まれにくくする機能）の解放後使用にあたる。

AndroidとChromeOSも同じ日に更新、iOSはセキュリティ修正の記載なし

Android向けのChrome 156（156.0.8078.47）は、米国時間10月20日13時10分（日本時間10月21日5時10分）に公開された。Google Playで数日かけて配信される。Googleは、特に断りがない限り、Android向けには対応するデスクトップ向けと同じセキュリティ修正が含まれると説明する。

ChromeOSの告知は、米国時間で同じ10月20日の17時56分（日本時間10月21日9時56分）に出た。ChromeOS 16836.19.0（ブラウザは156.0.8078.42）を、安定版を使う端末へ配信したという内容だ。告知には、ブラウザ部分のCVEとして117件が挙がっている。そのうち39件（Critical 5件を含む）は、デスクトップ向けの353件と同じCVEだ。残る78件は、デスクトップ向けではChrome 155の更新（米国時間10月6日・13日・15日）で修正済みだった分にあたる。ほかに、他社製ソフトウェアのセキュリティ修正として、High 3件とMedium 1件も挙がっている。

iPhoneとiPad向けのChrome 156（156.0.8078.46）も米国時間10月20日に公開された。ただし告知の説明は安定性と性能の改善だけで、セキュリティ修正の記載はない。

Chromeの基になっているオープンソースのブラウザ「Chromium」は、MicrosoftのEdgeなど、ほかのブラウザにも使われている。Microsoftは10月20日付のEdgeのセキュリティ更新の告知で、最近のChromiumのセキュリティ修正を把握しており、修正の公開に取り組んでいると説明した。日本時間10月22日午後の時点で、同じページにそれより新しい項目は載っていない。

国家サイバー統括室が3件の更新情報を投稿

国家サイバー統括室は、内閣サイバーセキュリティセンター（NISC）の改組によって、2025年7月1日に内閣官房に設けられた組織だ。公式Xアカウント「国家サイバー統括室(注意・警戒情報)」は日本時間10月22日11時9分から10分にかけ、ChromeOS、デスクトップ向けChrome、Android向けChromeの順に【更新情報】を3件投稿した。

デスクトップ向けの投稿は「本件更新(Windows/Mac:156.0.8078.47/.48、Linux:156.0.8078.47)にはセキュリティ修正が含まれています。配信されましたら忘れずにアップデートしてください。」という文面だった。ChromeOS向けとAndroid向けの投稿も、更新が配信されたら忘れずにアップデートするよう求める同じ型の文面だ。デスクトップ向けの投稿は次のとおり。

【更新情報】
米国時間2026年10月20日、デスクトップ向けChromeの更新情報が公開されました。
本件更新(Windows/Mac:156.0.8078.47/.48、Linux:156.0.8078.47)にはセキュリティ修正が含まれています。配信されましたら忘れずにアップデートしてください。 https://t.co/Ph6OKKTb6N
— 国家サイバー統括室(注意・警戒情報) (@cyber_forecast) October 22, 2026

同じ週には、ほかのソフトウェアでも更新と呼びかけが続く。国家サイバー統括室は前日の10月21日夜、PHP（Webサイトづくりに広く使われるプログラミング言語）の更新について、速やかな適用を呼びかけていた。PHPの深刻な脆弱性をめぐっては、修正版が日本時間10月21日夜に公開された。大手Webサービスも相次いで緊急メンテナンスに入った。

Oracleも米国時間10月20日、Javaの定例更新で55件の脆弱性を修正した。IPA（情報処理推進機構）は10月21日、早急な更新を呼びかけている。

パソコン・スマホ・Chromebookで更新を確かめる手順

Chromeは新しいバージョンが出ると自動で更新される。Googleのヘルプによると、パソコンでは通常、ブラウザを閉じてから次に開くまでの間に、更新がバックグラウンドで進む。ただし配信は順に広がるため、手元に届く時期は人によって違う。

パソコン（Windows・Mac・Linux）

Chromeを開き、右上の「その他」アイコンから「ヘルプ」、「Google Chromeについて」の順に選ぶ。「再起動」が表示されたら選ぶと、更新が反映される。「再起動」が出なければ、すでに最新のバージョンだ。

すぐに再起動できないときは「後で」を選ぶと、次にChromeを再起動したときに更新が適用される。開いていたタブやウィンドウは再起動のあとに戻るが、シークレットウィンドウは戻らない。「Google Chromeについて」の画面でバージョン番号が156.0.8078.47以降になっていれば、修正は反映済みとなる。Linuxの場合、Googleのヘルプはパッケージマネージャ（OSにソフトウェアを入れたり更新したりするためのソフトウェア）を使って更新するよう案内している。

Androidのスマートフォン・タブレット

Playストアのアプリを開き、右上のプロフィールアイコンから「アプリとデバイスの管理」へ進む。「アップデート利用可能」にChromeがあれば、横の「更新」をタップする。

Chromebook

画面右下の時刻から「設定」を開き、左下の「ChromeOSについて」で「アップデートの確認」を選ぶ。見つかった更新は自動でダウンロードされ、Chromebookを再起動すると完了する。Googleが米国時間10月20日に配信を告知したバージョンは、ChromeOS 16836.19.0だ。

[文/構成 by MediaDogs編集部]

寄稿者

MediaDogs編集部

メディアドッグス株式会社のMediaDogs編集部チーム。インターネットマーケティングに約10年携わるメンバーで編成し、企画・取材・執筆から公開後の改善まで一貫して担当。「出会いを、設計する。」のもと、人と企業が正しく出会える場をつくるために、一次情報の確認とファクトチェックを徹底。情報をわかりやすく誠実に届け、読者の疑問を解決します。