Googleは2026年10月9日、ChromeOSとChromeOS Flexの安定版(Stableチャネル)を更新しました。バージョンはOS 16805.33.0です。この更新で、Criticalを含む多数の脆弱性が修正されました。ChromebookやChromeOS Flexを使っている会社向けに、何が直されたのかと、情シスの対応を公式情報から整理します。
何が修正されたか
今回の更新で修正された脆弱性の多くは、ChromeOSに同梱されているChromeブラウザのものです。ChromeOSはChromeブラウザを含むため、ブラウザの修正もまとめて配られます。更新の案内に載るChromeブラウザのCVEを数えると106件で、深刻度の内訳は次のとおりです。
| 深刻度 |
件数 |
| Critical |
5件 |
| High |
44件 |
| Medium |
37件 |
| Low |
20件 |
Criticalの5件は、いずれも解放済みメモリの再利用(use-after-free)や境界外書き込みで、WebGLやServiceWorker、全画面表示などが対象です。一方、ChromeOS固有(OSそのもの)の修正は少数で、GPU関連(mali_kbase)の解放後利用など、High 2件でした。2026年10月時点で、悪用が確認されたという記載はありません。
なお「106件」はGoogleが数字として明示したものではなく、更新の案内に載っているChromeブラウザのCVEを数えた件数です。
ChromeOS安定版更新の修正内訳と情シスの対応(編集部作成)作成: 編集部 / もとの資料: 情シスのミカタ編集部
影響する会社・しない会社
影響するのは、業務でChromebookなどのChromeOS端末を使っている会社と、古いパソコンをChromeOS Flexで再利用している会社です。ChromeOS Flexは、サポートの切れたWindowsパソコンなどを延命する手段として使われることがあり、その端末も対象です。
ChromeOSを使っていない会社には、直接の関係はありません。ただし、今回修正された脆弱性の多くはChromeブラウザのものなので、WindowsやmacOSでChromeブラウザを使っている場合は、ブラウザ側の更新(別の案内)で同じ修正が配られます。会社で使っているブラウザが最新かも、あわせて確認しておくとよいでしょう。
なお、ChromeOSには、長期サポートのLTSチャネルもあります。LTSを使っている会社は、次の記事もあわせて確認してください。
情シスが今日やること
- 更新して再起動する: ChromeOS端末は自動で更新されますが、適用には再起動が必要です。「設定」→「ChromeOSについて」で更新を確認し、再起動します。「あとで」を続けず、早めに済ませます
- 管理している端末の版を確認する: Google管理コンソールで自動更新を抑えている会社は、端末がOS 16805.33.0に上がっているかを確認し、計画的に適用します
- サポート期限(AUE)を棚卸しする: 自動更新の期限が切れた端末が残っていないかを確認します。期限を過ぎた端末には、こうしたセキュリティ更新が届きません。古いChromebookやChromeOS Flexの端末が、まだ更新を受けられるかを確かめます
- ブラウザ側も確認する: WindowsやmacOSでChromeブラウザを使っている場合は、そちらも最新に更新します
ChromeOSは自動更新が基本なので、多くの端末は放っておいても新しくなります。ポイントは「再起動まで終えること」と、「自動更新が切れた古い端末を残さないこと」です。
