JVN iPediaは2026年10月13日、Android版Google ChromeのReadingListに関する脆弱性情報を掲載しました。今回の資料には、この問題を含むGoogle Chromeの脆弱性4件が示されています。いずれも対象は155.0.8059.39未満で、情シスは社内端末の版を確認する必要があります。
対象版は共通、ReadingListの問題はAndroid版
4件のうち、CVE-2026-106216はReadingListのCSRF脆弱性です。CSRFは、利用者の意図しない処理を実行させる攻撃のことです。この問題の対象は、Android版Google Chromeの155.0.8059.39未満です。
JVN iPediaによると、利用者をだましてオリジンポリシーを回避する恐れがあります。オリジンポリシーは、異なるサイト間で情報や操作を分けるための制約です。回避されると、情報の一部が漏えいしたり、改変されたりする恐れがあります。
残る3件も、対象はGoogle Chromeの155.0.8059.39未満です。ただし、今回の資料には、この3件についてOSごとの対象条件は書かれていません。Android端末だけを確認して対応を終えるのではなく、社内PCを含めてChromeの利用状況を整理し、ベンダ情報と照合するのがよいでしょう。
情報漏えいと改変のリスクを分けて確認
CVE-2026-106261は、Videoで初期化されていないリソースを使う問題です。細工したHTMLを通じて、サンドボックス内のメモリを読まれる恐れがあります。サンドボックスは、処理を隔離する仕組みです。JVN iPediaでは、扱う全ての情報が漏えいする恐れがあるとしています。
CVE-2026-106280はPermissionElementの認可処理の問題、CVE-2026-106289はFedCMの認可欠如の問題です。認可とは、操作を許してよいかを判断することです。どちらも細工したHTMLによってオリジンポリシーを回避され、扱う全ての情報が改変される恐れがあります。
深刻度を示すCVSS v3基本値は、ReadingListの問題が5.4、残る3件が6.5で、いずれも「警告」です。4件とも、攻撃に特権は不要ですが、利用者の関与が必要とされています。これは被害の発生を示す情報ではありません。今回の資料には、悪用の有無や実際の被害についての記載はありません。
影響する会社・しない会社
- 影響する: Android版Google Chromeの155.0.8059.39未満を業務で使う会社。ReadingListの問題の対象に該当します。
- 影響する: Google Chromeの155.0.8059.39未満を使う会社。Video、PermissionElement、FedCMの3件について確認が必要です。OS別の条件は今回の資料には書かれていません。
- 影響しない: 利用するGoogle Chromeが全て155.0.8059.39以上であると確認できた会社は、今回記載された「未満」という対象条件には該当しません。ただし、Chrome全体に問題がないことを意味するものではありません。
- 影響しない: 業務端末でGoogle Chromeを使っていない会社は、記載された製品の対象外です。他のブラウザーやChromeを組み込んだ製品への影響は、今回の資料には書かれていません。
情シスが今日やること
- 今日の確認作業として、社内の端末台帳や管理記録から、Google Chromeを使う端末と担当者を抽出します。PCとAndroid端末を分け、版が記録されていない端末も確認対象に残してください。
- 抽出した端末のChromeの版を確認し、155.0.8059.39未満かどうかを記録します。今回の資料には、版を確認する管理画面やメニューの場所は書かれていません。確認できない端末は「不明」とし、利用者または端末管理の担当者に確認を依頼します。
- ベンダ情報で、4件の対象条件と対策を照合します。JVN iPediaはベンダ情報を確認して適切な対策を取るよう案内しています。今回の資料だけでは、修正版の提供時期や日本での更新提供状況は確認できません。対象版の境界だけで、更新が配布済みと判断しないでください。
- 対象端末の利用者と部門責任者に、情報漏えい・改変の恐れと、確認した対策を知らせます。更新が必要な場合は実施担当と期限を社内で決め、対応後の版を記録してください。公式な対応期限は今回の資料には書かれていません。
