Chrome 157で脆弱性213件、156固定のPCは修正が止まる

会社のPCのChromeが157.0.8103.38（WindowsとMacは.39も）以降に上がり、開き直してあれば、11月3日に修正された脆弱性213件はふさがっています。危ないのは、更新の版を「156.」で止めているPCです。安定版が157に移った今、そのPCには156のセキュリティ修正も、もう届きません。延長安定版を選んだPCは別で、156のまま修正が続きます。

Googleは11月3日（米国時間）、Chrome 157を安定版にしました。配布は数日から数週間かけて順に進みます。発表に悪用の記載はなく、米CISAのKEVも11月4日の版で、213件のどれも載せていません。

減ったのはMediumとLow、Criticalは156と同じ7件

213件は、10月6日の155（247件）や10月20日の156（354件）より少ない数です。ただ、深刻度ごとに並べると、減ったのはMediumとLowでした。Highは156の60件から77件に増え、Criticalは156と同じ7件です。

CriticalとHighを足すと、155は57件、156は67件、157は84件。3回の中でいちばん多いのが今回です。156の数字は、書き直されたあとの今の発表によります。10月21日の時点では353件、Critical 6件でした。¹

減り方にも偏りがあります。報告者が「Google」の項目は、156の一覧の265件から、157では130件になりました。一方、外の研究者からの報告は88件と83件で、ほとんど変わっていません。合計が減ったのはGoogle社内で見つけた分が少なかったためで、件数の上下で急ぎ度を決めないほうがよい、と編集部はみています。

Criticalの7件のうち4件は、WebGPUを受け持つDawn（2件）とANGLE、WebGLで、画面の描画やGPUにかかわる部分です。² Criticalのうち6件を含む12件のCVSSは、SecPulseのCVE-2026-121156のページでご覧いただけます。

156は安定版のあと、10月27日に52件（Critical 4件）、29日に21件（Critical 1件）の修正が続きました。経緯はChrome 156の記事で追えます。157でも、次の158までに追加の修正が出ると見込んでおくのが無難でしょう。

延長安定版が受け取るのは55件

延長安定版を選んでいる会社には、同じ11月3日から156.0.8078.88が配られ始めました。対象はWindowsとMacで、修正は55件。Critical 3件、High 49件、Medium 2件、Low 1件です。

55件の番号を157の213件と突き合わせると、重なるのは33件でした。内訳はCritical 1件（Dawnのバッファオーバーフロー、CVE-2026-121156）、High 30件、Medium 1件、Low 1件です。残る22件は、10月27日と29日に156の安定版で修正済みと発表された番号でした。³

157のCriticalのうち、6件は延長安定版の一覧にありません。この6件が156にもある脆弱性なのか、157で入った部分なのかは、どちらの発表からも読み取れません。

延長安定版は、機能の変化を遅らせる代わりに、移された修正だけを受け取る形です。台帳で「157に上げたPC」と「延長安定版で.88にしたPC」を同じ「対応済み」にまとめると、あとでCVEごとに照らす日に困ります。分けて書いておきたいところです。

管理外のPCで拡張機能が外れる件など、157の管理者向けの変更を避けたくて、今から延長安定版へ移そうと考える会社もあるかもしれません。もっとも、Googleのヘルプは、新しい版の時点で延長安定版に切り替えると、その版のセキュリティ修正を受け取れなくなると注意しています。勧めているのは、ロールバックのポリシーで延長安定版の版（今なら156）まで戻すやり方です。

157が届かないPCは、まず設定を疑う

157がいつまでも届かないPCがあるなら、最初に見るのは更新の設定です。Googleのヘルプによると、157の届き方は、Windowsのグループポリシーや、Chrome Enterprise Coreの管理コンソールにある次の設定で変わります。

見落としやすいのは「156.」の固定です。ヘルプによると、「156.」のようにメジャー版で固定したPCにセキュリティ更新が届くのは、安定版のメジャー版が156のあいだだけ。11月3日を境に、固定したPCは156の最後の版のまま止まります。10月まで正しく働いていた固定が、11月3日からは穴になっています。

逆の驚きもありえます。ドメインにもMDMにも入っていないWindowsでは、グループポリシーやレジストリで入れたGoogleアップデータの設定が効きません。ヘルプは、そうしたPCのupdater.logに「machine is not part of a domain」と出ると説明しています。止めたつもりのPCが、そのまま157へ上がることもあるはずです。設定が効いているかは、PCでchrome://policyを開き、「Google Update Policies」の欄の状態で分かります。

再起動を利用者まかせにしない

Chromeは更新を受け取っても、ブラウザーを開き直すまで古い版で動きます。再起動の通知（RelaunchNotification）を設定していなければ、メニューのアイコンが変わるだけ。開き直すかどうかは、利用者しだいです。

「再起動を必須にする」を選ぶと、通知がくり返し出て、期間が過ぎるとChromeが自動で再起動します。期間（RelaunchNotificationPeriod）の既定は604,800,000ミリ秒、つまり7日です。管理コンソールでは1〜168時間の幅で決められます。

7日は、今の更新の間隔からすると長めです。155、156、157の安定版は10月6日、20日、11月3日と2週間おきに出ていて、Chromium Dashの予定では158は11月17日。158の早期安定版も、11月4日に一部のWindowsへ配られ始めました。期限いっぱいまで開き直さない人がいれば、2週間の半分を古い版で過ごすことになります。

日中に閉じられて困る業務の画面がないなら、期間を2〜3日に縮める手もあるでしょう。RelaunchWindowで再起動の時間帯を昼休みなどに寄せれば、作業の途中で閉じられる不満も減らせます。

なお、Chrome Enterpriseのリリースノートは、157のWindowsで「動的なパッチ」を始めると予告していました（Chrome 157の管理者向けの変更）。再起動を待たずに、一部の更新を新しく開くプロセスへ当てる仕組みです。ただ、これは157からの機能です。156で動いているブラウザーを157にするには、やはり開き直してもらうしかありません。

Edgeの修正版は、まだ出ていない

Microsoftは11月3日、Edgeのセキュリティのリリースノートで、今回のChromiumの修正を把握し、修正版の準備を進めているとしました。11月5日朝（日本時間）の時点で、取り込んだEdgeの版はまだ載っていません。リリースの予定表では、Edge 157の安定版は11月5日の週です。

前の2回は、どちらもChromeの2日後にEdgeの修正版が出ました。155ではChromeが10月6日、Edgeの155.0.4283.45が8日。156ではChromeが10月20日、Edgeの156.0.4314.42が22日でした。同じ間隔なら、5日（米国時間）ごろになるでしょう。修正版が出ても、どのCVEを取り込んだかが更新ガイドに載るまでには時間がかかることがあり、その読み方はEdgeの50件の記事でご覧いただけます。

影響する会社・しない会社

• 影響する: WindowsやMac、LinuxのPCでChromeを使い、157.0.8103.38（WindowsとMacは.39を含む）より前の版が残っている会社です。社用のAndroidも同じで、11月3日の157.0.8103.38は、断りがない限りデスクトップ版と同じ修正を含みます。
• 影響する: 更新の版を「156.」や156の版番号で固定している会社です。固定を変えるまで、213件の修正は届きません。
• 影響する: 延長安定版を使っている会社です。156.0.8078.88で受け取る55件のうち、157と重なる番号は33件です。
• 影響する: Edgeを使っている会社です。修正を取り込んだ版を待つあいだも、版の一覧は先に作れます。
• 影響しない: すべてのPCが157.0.8103.38以降に上がり、開き直しまで済んだ会社は、今回の213件については対応を終えています。

iPhone向けの157.0.8103.37も11月3日に出ましたが、発表には安定性と性能の改善とだけあります。ChromebookのChromeOSは、11月5日朝の時点で157の安定版の発表がなく、10月28日の16836.30.0（ブラウザーは156.0.8078.77）が最新です。

情シスが今日やること

1. 更新の設定を開きます。グループポリシーなら、［Google］［Google Update］［Applications］の下の［Google Chrome］です。Chrome Enterprise Coreなら、管理コンソールのChromeの更新の設定を見ます。Target version prefixに「156.」や156の版番号があれば、「157.」にするか外します。
2. PCごとにChromeとEdgeの版を書き出します。Chromeは157.0.8103.38以上を済みとし、158の早期安定版（158.0.8127.18と.19）が届いたPCも済みに数えます。Edgeの列は、修正版が出た日にそのまま照らすために作っておきます。
3. 再起動の通知を「必須」にして、期間を決めます。72時間にするなら、RelaunchNotificationPeriodは259,200,000で、管理コンソールでは72時間と入れます。社内には、何日までに開き直せばよいかを日付で伝えます。
4. 延長安定版のPCは、156.0.8078.88になったかを見ます。台帳には「延長安定版、55件」と書き、157に上げたPCと分けておきます。

213という数字は、前の2回より小さく見えます。でも、会社のPCが実際にどの版で動くかを決めるのは件数ではなく、固定と再起動の設定のほうです。