Chrome 156が公開、脆弱性353件を修正 「緊急」6件 Windowsではログイン時の自動起動も

Googleは2026年10月20日(米国時間)、ブラウザ「Chrome」の新しい版「Chrome 156」を、Windows、Mac、Linuxのパソコン向けに公開した。セキュリティ上の弱点(脆弱性)353件を直し、うち6件は深刻度が最も高い「緊急(Critical)」だ。Googleの発表には、これらが攻撃に使われているという記載は無い。

何が直ったのか

新しい版は、WindowsとMac向けが「156.0.8078.47/.48」、Linux向けが「156.0.8078.47」。数日から数週間かけて順に配られる。

直した353件を深刻度で分けると、次のとおり(Googleの一覧をTECHNOVAで数えた)。

「緊急」の6件は、画像や文字を描く部分「Skia」、ページの見た目を決めるCSS、画面に描き出す部分(Paint)、ビデオ通話などに使うWebRTC、目や耳が不自由な人向けの読み上げなどを支える部分(Accessibility)の不具合だ。いずれもメモリーを正しく扱えなくなる種類で、細工したWebページを開かせて、パソコンで勝手にプログラムを動かす攻撃などに悪用されるおそれがある。

種類で見ると、メモリーが壊れる不具合(Memory corruption)が163件、使い終わったはずのメモリーをまた使ってしまう不具合(Use after free)が125件と、8割以上をメモリーの扱いの誤りが占めた。

前の大きな版の「Chrome 155」では247件を直しており(窓の杜による)、今回はそれを100件以上上回る。Chromeは毎週のように更新を出していて、10月13日と15日にも155の更新で弱点を直したばかりだ(前回の記事)。

だれが見つけたのか

Googleの一覧をTECHNOVAで数えると、353件のうち266件はGoogle自身が見つけていた。外部の研究者に報奨金を払ったのは24件で、合わせて5万ドル。最も高いのは、サイトどうしを切り離して守る仕組み(SiteIsolation)の不具合の1万ドルだった。

目立つのは、AIの助けを借りた報告だ。Anthropicの研究者が「Claudeの支援を受けた」と書き添えた報告が5件(うち「緊急」1件)、OpenAIの「Codex Security」の名前での報告が4件(うち「緊急」1件)載った。

Windowsではログイン時に自動で起動

窓の杜によると、Windowsでは、パソコンにログインするとChromeが自動で起動するようになる。すぐにブラウザを使えるようにするためで、順に広げていくという。

Googleの企業向けの設定(ポリシー)の説明によると、Chromeには「Windowsの起動時にChromeを開始する」という設定があり、利用者に設定の変更を勧める案内が出ることもある。会社の管理者は、Chrome 156から使える「LaunchOnStartupEnabled」というポリシーで、自動で起動させるか、させないかを決められる。

Webを作る人に向けた変更

開発者向けには、次のような変更が入った。

• CSSの「random()」: 決めた範囲の中のでたらめな数を、CSSだけで作れる。部品をばらばらに散らす表現などに使える
• IndexedDBの作り直し: ブラウザの中にデータを保存する仕組み「IndexedDB」の土台が、データベースの「SQLite」に替わった。信頼性が上がる見込みで、今は新しく作られるデータが対象。すでにあるデータはそのまま残る
• 読み込みのやり直し: 部品(モジュール)の読み込みに失敗しても、あとからやり直せるようになった。電波の弱い場所などで役立つ

かんたんに言うと

ブラウザは、いろいろなWebページを開く、いわばインターネットの玄関だ。今回は、玄関の鍵の弱いところ353か所をまとめて直した大きな修理にあたる。新しい鍵が届いても、付け替えなければ意味がない。Chromeでいえば、付け替えにあたるのが「再起動」だ。

日本ではどうなるのか

更新は日本でも同じように配られる。Chromeはふだん自動で更新されるが、新しい版はブラウザを再起動するまで使われない。

1. Chromeの右上のメニュー(縦の3つの点)から「ヘルプ」、「Google Chromeについて」を開く
2. 更新が始まり、終わると「再起動」のボタンが出るので押す
3. 版が「156.0.8078.47」以降(WindowsとMacでは「.48」のこともある)になっていれば済み

Androidのスマートフォン向けは「156.0.8078.47」で、Googleはパソコン向けと同じセキュリティの修正を含むとしている。Google Playで数日のうちに配られる。iPhone向けは「156.0.8078.46」がApp Storeで配られる。

窓の杜によると、Windows版はWindows 10以降、Mac版はmacOS 13以降に対応する。Microsoft EdgeなどChromeと同じ土台(Chromium)を使うブラウザは、それぞれの会社が更新を出すので、そちらも確かめておきたい。会社のパソコンなどで管理者が更新を管理している場合は、その指示に従う。

まとめ

Googleは「Chrome 156」で、「緊急」6件を含む353件の脆弱性を直した。攻撃に使われているという記載は無いが、数は前の大きな版より100件以上多い。自動で届くが、再起動しないと直らないので、「Google Chromeについて」の画面で版が156.0.8078.47以降になっているか確かめておきたい。