【解決済み】CVE-2026-87491の直し方｜Chrome 153.0.8010.36への更新で今すぐ防ぐ3ステップ
結論｜Chromeを「153.0.8010.36」以降にすればCVE-2026-87491は塞がる
先に答えを書きます。CVE-2026-87491は、Chromeを修正済みバージョンへ更新するだけで塞げます。かかる時間は1〜2分で、有料ソフトの導入も設定のやり直しも必要ありません。
やることは3つだけです。(1) アドレスバーに chrome://settings/help と入力する、(2) 表示された「再起動」ボタンを押す、(3) もう一度同じ画面でバージョン番号を確かめる。各ステップの詳しい画面の場所は後半で説明します。
急ぐ理由ははっきりしています。Googleはこの脆弱性の悪用が実際に確認されている（in the wild）ことを認めており、SecurityWeekによれば、2026年にGoogleが修正した悪用確認済みのChromeゼロデイはこれで7件目です。
さらに米CISA（サイバーセキュリティ・インフラセキュリティ庁）は2026年9月9日、本件をKnown Exploited Vulnerabilities（KEV＝悪用が確認された脆弱性）カタログに追加し、連邦文民行政機関に2026年9月23日までの是正を求めました（CISA公式アラート）。
対象になるOSと修正済みバージョン（2026-09-18時点）
| OS | 修正済みバージョン | これより前の場合 |
|---|---|---|
| Windows | 153.0.8010.36 または 153.0.8010.37 | 未対策。今すぐ更新 |
| Mac | 153.0.8010.36 または 153.0.8010.37 | 未対策。今すぐ更新 |
| Linux | 153.0.8010.36 | 未対策。今すぐ更新 |
このアップデートは、Google公式のChrome Releasesブログに2026年9月8日付で掲載された「Stable Channel Update for Desktop」として告知され、順次展開されています。海外メディアの一部は配信日を9月9日と伝えており、日付の表記には数日のぶれがあります。
出典: Wikimedia Commons（パブリックドメイン）
CVE-2026-87491とは？V8エンジンの「境界外書き込み」をかみ砕く
V8は、ChromeがJavaScriptやWebAssemblyを実行するためのエンジンです。ページの動きや計算を担当する心臓部で、私たちが開くほぼすべてのサイトの裏側で働いています。
CVE-2026-87491は、そのV8にあるout-of-bounds write（境界外書き込み）の欠陥です。用意された箱の外側にデータを書き込んでしまう種類の不具合で、細工されたHTMLページを開くだけでブラウザのサンドボックス（Webページの処理をOS本体から隔離しておく安全な区画）内で任意のコードを実行される可能性があります（Help Net Security）。悪用が成立した場合、一般論としてはPC内の情報窃取やマルウェアの追加インストール、アカウントの乗っ取りといった被害につながるおそれがあります。
つまり、怪しいファイルをダウンロードしなくても「ページを見ただけ」で被害が成立しうる点が厄介です。だからこそ、更新以外に確実な自衛手段がありません。
なおChrome 153は今回のゼロデイ以外にも計230件のセキュリティ修正を含み、うち5件はCritical（致命的）と評価された大型更新です。今回の脆弱性自体は、韓国・ソウル国立大学Compsec LabのJihyeon Jeong氏が2026年8月6日にGoogleへ報告し、2,500ドルの報奨金を受け取ったものです。
なぜ攻撃者や手口は公表されないのか
Googleは悪用の事実を認める一方で、攻撃者・標的・具体的な手口を「大多数のユーザーが更新を終えるまで」非公開にする方針を取っています。詳細を早期に公開すると模倣攻撃を招きかねないため、というのが一般的な脆弱性開示の考え方です。
そのため2026-09-18時点では、「どんなサイトが危ないか」を見分ける手がかりは公開されていません。情報が少ないことは安全の証拠ではないので、更新を先延ばしにする理由にはしないでください。
CVSS 8.8なのにChromiumの分類が「Medium」な理由
外部の脆弱性データベース（Ubuntu Security Noticesなど）は、この脆弱性をCVSS 8.8、いわゆるHigh相当として掲載しています。一方でChromiumプロジェクト自身の内部分類はMedium表記で、両者に開きがあります。
なお8.8というスコアの採点元の表記は出典によって多少揺れがありますが、どちらの分類を採るにせよ読者が判断に迷う必要はありません。点数の呼び方より重視すべきは「悪用がすでに確認されているかどうか」で、今回はそこが明確にYesです。だからこそ本記事は分類論争に立ち入らず、「更新すれば解決する」という一点だけをお伝えしています。
混同注意｜CVE-2026-85046（Chrome 152）とは別の脆弱性
2026年9月上旬にはChrome 152系のゼロデイも修正されており、「前に更新したから大丈夫」と思っている人が取り違えやすい状況になっています。両者は別のCVE番号・別のバージョンです。
| 項目 | CVE-2026-85046（前回） | CVE-2026-87491（今回） |
|---|---|---|
| 修正バージョン | 152.0.7977.82 | 153.0.8010.36 / 153.0.8010.37 |
| 告知 | 9月3日 | 9月8日付で告知、順次展開 |
| 2026年の通算 | 6件目のゼロデイ | 7件目のゼロデイ |
前回の更新を済ませていても、バージョンが152系のままなら今回の脆弱性は塞がっていません。番号が1つ違うだけの別物として扱い、必ず153系まで上げてください。
今すぐできる確認・更新手順【3ステップ】
ステップ1：chrome://settings/help でバージョンを確認する
アドレスバーに chrome://settings/help と入力してEnterを押します。右上のメニュー（縦に点が3つ並んだアイコン）→「ヘルプ」→「Google Chrome について」からでも同じ画面に届きます（Google公式ヘルプ）。
出典: Wikimedia Commons（パブリックドメイン）
この画面を開くと自動で更新チェックが走り、更新がある場合は「再起動」ボタンが表示されます。ここまで来れば、あとは押すだけです。
ステップ2：「再起動」ボタンを押して更新を適用する
Chromeの更新は、ダウンロードが終わっていても再起動するまで適用されません。タブを開きっぱなしにしている人ほど、古いバージョンのまま使い続けてしまいがちです。
「再起動」ボタンを押すと、Windowsでは開いているChromeのウィンドウとタブがすべて自動的に閉じられたうえで起動し直されます。自分でタブを1つずつ閉じる必要はありません（「前回のセッションを復元」などタブを保存する設定にしていれば、再起動後に元のタブが自動で開き直されます）。Macでは管理者が「すべてのユーザーに対してChromeを自動的に更新」を有効にでき、Linuxはディストリビューションのパッケージマネージャー経由で更新します。
ステップ3：153.0.8010.36以降になっているか確かめる
再起動したら、もう一度 chrome://settings/help を開きます。表示が153.0.8010.36以降（Windows/Macは153.0.8010.37でも可）になっていれば対応完了です。
「Google Chrome は最新版です」と出るのにバージョンが152系のままなら、更新がまだ自分の環境まで届いていない可能性があります。Googleはセキュリティ更新が全世界のユーザーに行き渡るまで数日から数週間かかる場合があると説明する一方、BleepingComputerが確認した時点では即座に適用できたと報じています。数時間〜1日おきに再確認してください。
再起動しても更新されない・不安なときの対処法
更新ボタンが出ない、押しても進まないときは、Google公式ヘルプが案内する対処を上から順に試すのが近道です。
- PC本体を再起動してから、もう一度 chrome://settings/help を開く
- セキュリティソフトやファイアウォールが tools.google.com / dl.google.com への通信をブロックしていないか確認する
- Chromeをいったんアンインストールし、公式サイトから再ダウンロードして入れ直す（Windowsはスタンドアロン版インストーラーも利用可）
- OSのバージョンが要件（Windows 10以降など）を満たしているか確認する
- 会社や学校のPCで管理者権限がない場合は、IT管理者に更新を依頼する
3番の再インストールまで来ればほぼ確実に最新版になります。ブックマークやパスワードはGoogleアカウントに同期されていれば再ログインで戻るので、同期の状態だけ先に確認しておくと安心です。
CISAの是正期限「9月23日」は自分にも関係あるのか
2026年9月23日という期限は、米国の連邦文民行政機関（FCEB）に向けたものです。日本の個人利用者に法的な拘束力はないので、「期限までに何かしないと罰則がある」という話ではありません。
ただしKEVカタログへの登録は、実際に悪用が観測されたと政府機関が判断した脆弱性だけが受ける扱いです。期限は締め切りではなく緊急度の目安として読み、自宅のPCなら今日中に更新を終えてしまうのが安全です。
まとめ
CVE-2026-87491への対応は、Chromeを153.0.8010.36以降（Windows/Macは153.0.8010.37でも可）にするだけです。今すぐ chrome://settings/help を開いて、バージョンを確かめてください。
再発防止のためにできることも3つあります。自動更新を無効化していないか確認する、タブを開きっぱなしにせず1日1回はChromeを再起動する、そして更新後にバージョン番号まで目視で確かめる習慣をつけることです。
Chromeのゼロデイは2026年だけで7件目です。今後も「ゼロデイ」「悪用確認済み」という言葉をニュースで見かけたら、記事の中身を読み込む前にまず chrome://settings/help を開く——この反射が、いちばん安く効く防御になります。
