Chrome今月5度目の更新、脆弱性4件を修正

Googleは現地時間2026年7月23日、Webブラウザ「Chrome」の安定版（Stable）アップデートを公開し、深刻度「高（High）」と評価された脆弱性4件を修正しました。今月に入って5度目のセキュリティ更新で、いずれもメモリ破壊系の不具合です。まずは要点を3行で押さえます。

• 何が起きたか：Chromeが「高」深刻度の脆弱性4件（CVE-2026-16804〜16807）を修正。
• 誰に影響するか：Chromeを使う全端末（Windows／macOS／Linux）。業務PCはほぼ対象。
• 今すぐ何をすべきか：更新後バージョンへの適用状況を確認し、未適用端末は再起動して反映させる。

何が修正されたのか

今回の更新で対処されたのは、外部の研究者から報告された脆弱性4件です。いずれも深刻度は「高」で、細工されたWebページを開かせることでメモリ破壊を引き起こし、最悪の場合は任意コード実行につながりうる種類のものです。現時点で悪用が確認されたとの公式情報はありません（2026年7月24日時点）。

4件中3件が「Use After Free（解放後利用）」です。これは解放済みのメモリ領域を誤って再利用してしまう不具合で、Chromeの月次更新でも常連の脆弱性タイプです。細工されたコンテンツに触れるだけで成立しうるため、フィッシングや不正広告（マルバタイジング）と組み合わされると被害につながります。

対象バージョン：適用済みかの見分け方は？

更新後の安定版バージョンは次のとおりです。ここに達していれば適用済みです。

• Windows / macOS：150.0.7871.187 または 150.0.7871.186 以降
• Linux：150.0.7871.186 以降

各端末では、Chromeのメニューから「ヘルプ」→「Google Chrome について」を開くと現在のバージョンが表示され、更新の確認と適用が行われます。表示されたバージョンが上記に達しているかで判断できます。

なぜ「毎週のように」更新が出るのか

Chromeはユーザー数が桁違いに多く、攻撃者と研究者の双方から常に脆弱性を探されています。Googleは危険度の高い不具合が見つかり次第、月次サイクルを待たずに随時修正を出す方針で、結果として月に何度も更新が出ます。今月5度目というのは特別に多いというより、Chromeでは珍しくないペースです。当メディアでも今月、高危険度12件を修正した回を取り上げています。

裏を返せば、「先週更新したから大丈夫」は通用しないということです。ブラウザは業務でもっとも起動時間が長いソフトの一つであり、攻撃者にとっては格好の入口です。更新頻度の高さは、それだけ守るべき最前線であることの表れと捉えるのが現実的です。

現場目線の課題：自動更新の「最後の一歩」が抜ける

Chromeにはバックグラウンドで更新をダウンロードする自動更新機能があり、多くの端末は放っておいても新しいバージョンを取り込みます。ここで情シスが見落としがちなのが、「ダウンロードは済んでいても、Chromeを再起動するまで適用されない」という点です。

現場では、ブラウザを何日も閉じずに使い続ける人が少なくありません。タブを大量に開いたまま、あるいはスリープ運用でPCをほとんど再起動しない端末では、更新が「保留」のまま古いバージョンが動き続けます。「自動更新だから全台大丈夫」と思い込んでいると、実際には一定数の端末が数週間前の脆弱なバージョンで稼働していた、ということが起こります。台数の多い組織ほど、この最後の一歩の抜けが見えにくいのが悩みどころです。

情シスはどうすべきか

やることは特別ではありませんが、確実さが問われます。

• バージョンの可視化：資産管理ツールやMDM／EDRで、社内端末のChromeバージョンを一覧化し、対象バージョン未満の端末を洗い出す。
• 再起動の徹底：更新が保留になっている端末には、ブラウザ（またはPC）の再起動を促す。声かけだけでなく、更新期限を過ぎたら自動で再起動させる管理設定も有効です。
• ポリシーによる強制：多数の端末を抱える組織では、Chrome Enterpriseのグループポリシーで更新の適用期限（リロード猶予期間）を管理すると、属人的な運用から脱却できます。

個別のブラウザ更新に一喜一憂するのではなく、こうした対応を日々の脆弱性管理プロセスに組み込むことが本質です。プロセスとしての進め方は脆弱性管理とは？プロセスと情シスの進め方を解説で整理しています。あわせて、ブラウザ更新の重要性はエンドユーザー自身の理解にも支えられます。IPAの対策のしおりなど、公的な啓発資料を使った地道な周知も、最終的な適用率を押し上げます。

なお、更新が必要なブラウザはChromeだけではありません。今月はFirefoxでもESRを含む更新が出ています（Firefox 153・ESR更新、悪用コード公開の脆弱性に注意）。自組織で許可しているブラウザすべてを棚卸しの対象にしましょう。

まとめ

• Chromeが2026年7月23日に安定版を更新し、深刻度「高」の脆弱性4件（うち3件がUse After Free）を修正。今月5度目の更新。
• 適用済みの目安は Windows／macOS が 150.0.7871.187／.186、Linux が 150.0.7871.186 以降。「Chrome について」で確認できる。
• 自動更新でも再起動しないと反映されない。バージョンの可視化と再起動の徹底を脆弱性管理プロセスに組み込むことが要。

出典

• Security NEXT「『Chrome』に今月5度目のセキュリティ更新 – 脆弱性4件に対処」：https://www.security-next.com/187798
• Chrome Releases（Google公式ブログ）：https://chromereleases.googleblog.com/