Googleは2026年10月20日(公式ブログの日付)、Chrome 156を安定版にしたと発表しました。版はWindowsとMac向けが156.0.8078.47と.48、Linux向けが156.0.8078.47です。修正したセキュリティの問題は353件で、前の版のChrome 155の247件を大きく上回ります。数日から数週間かけて順に配られるとしています。
発表の中身:353件、深刻6件
公式ブログは「This update includes 353 security fixes.」と書いています。深刻度ごとの件数は、発表に並ぶCVE番号を数えると次のとおりです(編集部で集計。353件の合計と一致しました)。
| 深刻度 |
件数 |
補足 |
| Critical(最も高い) |
6件 |
メモリの破損が5件、解放後のメモリの利用が1件 |
| High |
61件 |
|
| Medium |
197件 |
|
| Low |
89件 |
|
| 合計 |
353件 |
|
Chrome Releasesの発表の該当部分。353件の修正と、Criticalの6件出典: Google「Stable Channel Update for Desktop」(Chrome Releases)(引用)
Criticalの6件は、CVE-2026-113341(Skia、画像の描画の部品)、CVE-2026-113279とCVE-2026-113271(Accessibility、読み上げなどの支援の機能)、CVE-2026-113072(CSS)、CVE-2026-113280(Paint)、CVE-2026-113303(WebRTC、ビデオ通話などの通信)です。
Chrome 156の353件の修正の内訳(編集部で集計)作成: 編集部 / もとの資料: Google(Chrome Releases)
部分ごとに見ると、拡張機能(Extensions)が26件、画像の描画のANGLEが21件、開発者ツール(DevTools)が16件と多くなっています。種類では、メモリの破損が163件、解放後のメモリの利用が125件で、全体の8割を占めます。353件のうち266件は、Google自身が見つけたものです。
報告者の欄には、AnthropicのClaudeの支援を受けた報告が5件、OpenAI Codex Securityによる報告が4件あります。前の版の155でも、Criticalの4件のうち2件は、Claudeの支援を受けた報告でした。
公式ブログには、悪用が確認されているかどうかは書かれていません。米CISAの悪用が確認された脆弱性の一覧(KEV)にも、10月21日時点で353件のどれも載っていません。また、問題の詳しい内容は、多くの利用者が更新するまで公開を制限することがあると断り書きがあります。
Android・iOSとEdge
Android向けのChrome 156(156.0.8078.47)も同じ10月20日に出ました。Google Playで数日かけて配られます。発表は、Android版は対応するデスクトップ版と同じセキュリティ修正を含むとしています(特に断りがない限り)。iOS向けのChrome 156(156.0.8078.46)も同じ日に出ています。
Chrome 156は、10月14日に一部の利用者へ先行して配られていました(デスクトップは156.0.8078.35/.36)。10月20日の発表は、全体への配布の始まりです。
Microsoft Edgeについて、マイクロソフトのセキュリティのリリースノートは10月20日、次のように書いています。
Edgeのセキュリティのリリースノートの10月20日の記載出典: Microsoft「Release notes for Microsoft Edge Security Updates」(Microsoft Learn)(引用)
今回のChromiumのセキュリティ修正を把握しており、修正を出す作業を進めている、という内容です。10月21日時点で、取り込んだEdgeの版はまだ出ていません。Edgeは、出たらすぐに版を確かめる対象になります。
影響する会社・しない会社
- 影響する: WindowsやMac、LinuxのPCでGoogle Chromeを使っている会社です。業務システムの画面やWeb会議、クラウドサービスの入口にChromeを使っていれば、ほぼ全員が対象です。
- 影響する: 社用のスマートフォンでChromeを使っている会社です。AndroidはGoogle Play、iPhoneはApp Storeで更新が配られます。
- 影響する: Microsoft Edgeを使っている会社です。同じChromiumの修正が要りますが、10月21日時点でEdgeの修正版はまだ出ていません。
- 影響しない: ChromeやChromiumを土台にしたブラウザを全く入れていない端末です。ほかのChromium系のブラウザは、各社の発表で確認します。
情シスが今日やること
- 管理しているPCのChromeの版を一覧で確認します。個別に見るなら、Chromeの右上のメニューから「ヘルプ」の「Google Chromeについて」を開きます。156.0.8078.47以降(Windows・Macは.48を含む)かどうかを見ます。
- 配り方を確認します。更新を自動で配る設定か、情シスが版を固定しているかで、対応が変わります。版を固定している場合は、固定の設定を156系に上げます。管理の仕組みで更新を早めに当てる設定があれば、今回はそれを使います。
- 再起動を依頼します。Chromeは更新を入れても、ブラウザを閉じて開き直すまで古い版のままです。長くブラウザを開きっぱなしの人に、今日のうちに再起動を頼みます。管理の仕組みで再起動の期限を決められる場合は、その設定も見直します。
- 社用のスマートフォンを確かめます。AndroidはGoogle Playで、iPhoneはApp StoreでChromeを更新するよう伝えます。端末の管理の仕組みがあれば、アプリの版を一覧で確かめます。
- Edgeの修正版を待ちます。マイクロソフトのリリースノートを確かめる担当と日を決めます。出たら、Chromeと同じように版と再起動を確かめます。
最後に、更新の結果を版番号と日付つきで資産台帳に残しておくと、次の更新のときに迷いません。
