Chromeの悪用された脆弱性、Edgeは修正版を準備中

Chromeは修正版が出ていますが、Windowsに標準で入っているEdgeは、11月11日朝の時点で、Chromeの修正より後の版が出ていません。Googleは11月9日（米国時間）、Chromeの安定版157.0.8103.50/.51で、悪用が確認された脆弱性CVE-2026-125350を修正しました。

Chromeは9日に修正、Edgeは同じ日に「準備中」

CVE-2026-125350は、ChromiumでXMLを処理する部分の脆弱性で、種類は解放済みメモリの使用（use-after-free）です。KEVの説明では、細工したWebページを開かせるだけで、サンドボックスの中で任意のコードを実行されるおそれがあります。報告は11月6日の匿名の届け出で、Googleは3日後の修正版の告知に「この脆弱性を悪用するコードが出回っている」と書き添えました。

修正を含む版はWindowsとMacの157.0.8103.50/.51、Linuxの157.0.8103.50で、延長安定版なら同じ日の156.0.8078.96です。11月10日の図解の時点では中身が載っていなかった告知で、悪用の一文は今になって読めるようになりました。図解を見てChromeを「今週のうちに」に入れた会社は、今日の対応に上げてください。細工したページの条件など、技術的な内訳はSecPulseのCVE-2026-125350のページにあります。

ところがEdgeは、まだです。

Microsoftは同じ9日、Edgeのセキュリティのリリースノートに「最近の悪用を把握しており、修正の公開に向けて作業している」とだけ記しました。CVEの番号はありませんが、日付と文面から、今回のCVE-2026-125350を指すとみられます。安定版の最新は、11月5日に出た157.0.4341.42のまま。いつ修正版が出るかの見込みもありません。

影響を受けるPCと、受けないPC

影響を受けるのはChromeかEdgeが入っているPCで、WindowsもMacも含みます。Windowsには初めからEdgeが入っています。ですから、社内でChromeだけを使う決まりでも、Edgeを消していないPCは対象と考えてください。米CISAは10日、この脆弱性を悪用された脆弱性のカタログ（KEV）に加えました。KEVの説明にはOperaの名前もあり、ほかのChromium系のブラウザーも影響を受けえます。

Chromiumを使わないFirefoxとSafariは、KEVの説明の対象に入っていません。ChromeOSの扱いは今回のGoogleとCISAの告知に書かれていません。

修正版が届いても、再起動まで直らない

ブラウザーの修正は、更新を受け取ったあと、開き直して初めて効きます。しかもGoogleは今回の版を「数日から数週間かけて」順に配るとしています。朝に開いたChromeを夕方まで閉じない人は、どの会社にも多いでしょう。

管理者が再起動を促すポリシーは、ChromeにもEdgeにも同じ名前であります。RelaunchNotificationを「必須」にすると、通知の期間が過ぎたところでブラウザーが自動で再起動します。気をつけたいのは期間の側です。RelaunchNotificationPeriodを入れなければ、どちらも1週間（604800000ミリ秒）になります。つまり「必須」にしただけの会社では、修正が届いてから強制の再起動まで、最大で1週間かかります。

悪用が分かっている今は、この期間を短くしておく意味が大きいはずです。Chromeの下限は1時間（3600000ミリ秒）。Edgeの説明では、再起動のあとも開いていたタブは元に戻るので、1日ほどに縮めても仕事への影響は小さく済みます。期間の決め方と、版を「156.」で固定したPCに修正が届かない件は、Chrome 157の記事でも読めます。

Edgeの修正版が出る前と後の段取り

1. 今日のうちに、資産管理ツールかブラウザーの管理コンソールで、Chromeの版を一覧にします。157.0.8103.50より古いPC（延長安定版は156.0.8078.96より古いPC）が、更新か再起動を待っている台です。
2. グループポリシーかIntuneで、ChromeとEdgeの両方にRelaunchNotificationを「必須」、RelaunchNotificationPeriodを1日ほど（86400000ミリ秒）で入れます。Edgeの修正版が届いた日から、この設定が効きます。
3. Edgeの更新を止めるポリシーや、版を固定する設定が入っていないかを確認します。止めていると、修正版が出ても届きません。
4. Edgeの修正版が出たら、157.0.4341.42より新しい版に上がったかを、管理コンソールかIntuneの報告で一覧にします。上がっていても開き直していないPCは、2.の再起動の期限で拾えます。
5. ChromeとEdgeの両方を入れている会社なら、Edgeの修正版が出るまで、社外のWebサイトを見る作業を更新済みのChromeに寄せるよう案内する手もあります。

修正版が出たかどうかは、Edgeのセキュリティ向けリリースノートを開き、いちばん上の日付を見れば分かります。

これまでのEdgeは、翌日か、それより早かった

今回の遅れは、2026年のこれまでと違います。Chromeが悪用を認めた脆弱性のうち、GoogleとMicrosoftの告知で日付を突き合わせられた3件では、次のとおりです。

*日付はどちらも各社の告知の日付（米国）。9月のCVE-2026-85046と87491は、Edgeのリリースノートの日付（9月2日、4日）がChromeの告知（9月3日、8日）より前になっており、この表の並べ方には合いません。

3件とも、Edgeは翌日に修正版を出しました。表から外した9月の2件は、Edgeの日付のほうが早いくらいです。でも今回は、修正版より先に「準備中」の告知が出ました。中身を明かせない事情があるのか、修正そのものに手間取っているのかは、告知からは読み取れません。ただ、「Chromeの翌日にはEdgeも直る」という前提で待つと、外れるかもしれません。