Chrome 155の安定版で247件の脆弱性修正、深刻4件。会社のPCで確かめること

Googleは2026年10月6日(公式ブログの日付)、Chromeの安定版をWindowsとMac向けに155.0.8059.39と.40、Linux向けに155.0.8059.39へ更新したと発表しました。修正したセキュリティの問題は247件です。数日から数週間かけて順次配られるとしています。

発表の中身:247件、深刻4件

公式ブログは「This update includes 247 security fixes.」と書いています。深刻度ごとの件数は、発表に並ぶCVE番号を数えると次のとおりです(編集部で集計。247件の合計と一致しました)。

Criticalの4件は、CVE-2026-106382(Chromecast)、CVE-2026-106197(ブラウザ本体)、CVE-2026-106358(Navigation)、CVE-2026-106347(Track)です。うち2件は、Anthropicの研究者がClaudeの支援を受けて報告したと書かれています。

公式ブログには、悪用が確認されているかどうかは書かれていません。また、問題の詳しい内容は、多くの利用者が更新するまで公開を制限することがあると断り書きがあります。

1週間で2回目の更新

JPCERT/CCの週報(2026年10月7日号、9月27日から10月3日の情報)は、「Google Chromeに複数の脆弱性」を取り上げ、修正済みの版へ更新するよう呼びかけています。週報が情報源にしているのは、10月1日の更新です。この更新は154.0.8037.97/.98で、修正は11件でした。

つまり、10月1日の154系の更新から5日後に、155系の更新が出ています。まだ154系のままの会社のPCがあれば、155系まで一気に上げる対象です。

日本での配られ方について、発表は日本向けの違いを書いていません。ほかの国と同じく、順次配られる更新です。

影響する会社・しない会社

• 影響する: WindowsやMacのPCでGoogle Chromeを使っている会社です。業務システムの画面やWeb会議、クラウドサービスの入口にChromeを使っていれば、ほぼ全員が対象になります。
• 影響する: Linuxのデスクトップ環境でChromeを使っている会社です。公式ブログでは、LinuxはWindows・Macと版の末尾が少し違います(.39のみ)。
• 影響しない: ChromeやChromiumを全く入れていない端末です。ただし、Edgeなどほかのブラウザの対応時期は、今回の発表に書かれていません。各社の発表で確認します。
• 影響しない: 今回のデスクトップ版の発表は、スマートフォン版のChromeについては何も書いていません。スマートフォン版は別の発表で確認します。

情シスが今日やること

1. 管理しているPCのChromeの版を一覧で確認します。個別に見るなら、Chromeの右上のメニューから「ヘルプ」の「Google Chromeについて」を開きます。155.0.8059.39以降(Windows・Macは.40を含む)かどうかを見ます。
2. 配り方を確認します。更新を自動で配る設定か、情シスが版を固定しているかで、対応が変わります。版を固定している場合は、固定の設定を155系に上げる作業が今日の仕事です。具体的な設定の項目は、Googleの管理者向けの案内で確認してください。発表には、管理設定の説明は書かれていません。
3. 再起動の状況を確認します。Chromeは更新を入れても、ブラウザを閉じて開き直すまで古い版のままです。長くブラウザを開きっぱなしの人に、今日のうちに再起動を依頼します。管理の仕組みで再起動の期限を決められる場合は、その設定も見直します。
4. 例外の端末を洗い出します。検証用のPC、共用のPC、更新が止まっているPC、古いOSで更新が届かないPCです。見つかった端末は、更新するか、使い方を制限します。
5. 社員に一言知らせます。「今日中にChromeを再起動して、最新の版にしてください」と、メニューの場所つきで伝えます。

最後に、更新の結果を版番号と日付つきで資産台帳に残しておくと、次の更新のときに迷いません。

今日からできること

自社のChromeを自動更新にするか固定するかは、会社の事情で決めます。いずれの場合も、重大な更新が出たときに「誰が・いつまでに・どこで版を確かめるか」を決めておくと、今回のように短い間に更新が続いても慌てません。