【CVE-2026-110922】Chrome 155の緊急脆弱性修正｜Prerender機能のUse-after-freeに今すぐ対処すべき理由
Chrome 155で「CVE-2026-110922」というCritical脆弱性が修正された
Chrome 155のCVE-2026-110922は、Prerender機能の脆弱性に関する緊急の更新です。
「Chromeに緊急の脆弱性修正が出たと聞いたけれど、自分は何をすればいいの？」と気になっている方へ、先に結論をお伝えします。
Googleは2026年10月15日、Chrome 155の更新（Windows/Mac向け155.0.8059.84/.85、Linux向け155.0.8059.84）を公開しました（securityonline.info）。
この更新で、Prerender機能の脆弱性CVE-2026-110922が修正されています。
この脆弱性はChromiumの深刻度分類で最も重い「Critical」です。2026-10-21時点で実際の悪用は確認されていませんが、深刻度が高いため、できるだけ早くChromeを更新して再起動してください。
| 項目 | 内容（2026-10-21時点） |
|---|---|
| CVE番号 | CVE-2026-110922 |
| 種類 | Prerender（事前読み込み）機能のUse-after-free（CWE-416） |
| 深刻度 | Chromium分類でCritical／CVSS 3.1は10点満点中8.8（評価機関により差あり） |
| 影響を受けるバージョン | Chrome 155.0.8059.84より前 |
| 修正済みバージョン | Windows/Mac: 155.0.8059.84/.85、Linux: 155.0.8059.84 |
| 実環境での悪用 | 確認されていない（CISA KEVにも未掲載） |
| やること | 「Google Chromeについて」で確認し、再起動して更新を適用 |
Chrome 155で修正された10件の脆弱性の内訳｜Criticalは1件
ここでは、Chrome 155で修正された脆弱性の全体像を見ていきます。今回の更新では、合計10件の脆弱性が修正されました。内訳はCritical 1件、High 6件、その他（Medium/Low）3件です（dailysecurityreview.com）。
| 深刻度 | 件数 | 主な内容 |
|---|---|---|
| Critical | 1件 | CVE-2026-110922（Prerender機能のUse-after-free） |
| High | 6件 | 個別の内容は本記事の調査範囲では未確認 |
| その他（Medium/Low） | 3件 | 個別の内容は本記事の調査範囲では未確認 |
このうちCritical判定はCVE-2026-110922だけです。High 6件とその他3件については、個別のCVE番号や内容が公開情報の中で確認できませんでした。本記事では、深刻度が最も高いCVE-2026-110922の1件に絞って、中身と対処法を解説します。
CVE-2026-110922とはどんな脆弱性か
CVE-2026-110922は、Chrome 155.0.8059.84より前のバージョンのPrerender機能に存在するUse-after-freeの脆弱性です（OpenCVE）。
CVEレコードは2026年10月15日（UTC）に公開されています。
Prerender（事前読み込み）機能とは
Prerenderは、次に開きそうなページをあらかじめ裏側で読み込んでおく機能です。リンクをクリックしたときにページがすぐ表示されるよう、表示を速くするための仕組みです。
今回の脆弱性は、この「事前に読み込む」処理の中に見つかりました。ふだん意識せずに使っている機能だからこそ、利用者側では気づきにくい点に注意が必要です。
Use-after-free（解放後使用）とは
Use-after-freeは、プログラムが「もう使い終わった」として手放したメモリ領域を、誤ってもう一度使ってしまう不具合です。CWE-416という分類番号が付いています。
手放した領域を誤って使うと、プログラムが想定外の動きをするおそれがあります。
OpenCVEによると、CVE-2026-110922では細工されたHTMLページを読み込むことで、リモートの攻撃者がChromeのサンドボックス内で任意のコードを実行できる可能性があります。
サンドボックスとは、Webページの処理を隔離して他に影響が出にくくする仕組みのことです。
CVSSスコアと攻撃の条件
CVSS（脆弱性の深刻さを数値で示す共通の尺度）は、10点満点中3.1換算で8.8と評価されています（TheHackerWire）。10点満点中8.8点は、同じ尺度の中でも上位に入る高さです。
ただしRed Hatのドラフト記録では9.6とする記載もあり、評価機関によって数値に差があります。
| 指標 | 値 | 意味 |
|---|---|---|
| 攻撃元（AV） | ネットワーク | インターネット経由で攻撃が届きうる |
| 攻撃の難しさ（AC） | 低 | 特別な条件がなくても成立しうる |
| 必要な権限（PR） | 不要 | ログインなどの権限がいらない |
| ユーザー操作（UI） | 必要 | 不正なページを開くなどの操作が必要 |
| 影響（C/I/A） | すべて高 | 情報漏えい・改ざん・停止の影響が大きい |
なお、Chromiumの「Critical」という深刻度区分とCVSSの数値は評価の物差しが異なります。Criticalだから「CVSSが最高値」という意味ではない点に注意してください。
発見者については、特定の研究者が報告したと伝える報道もありますが、一次情報では確認できていません。Chromiumの課題管理上のバグ番号は568719351です。
深刻度は高いが「悪用されている」わけではない
ここが今回の記事でいちばん伝えたいポイントです。CVE-2026-110922は深刻度こそCriticalですが、2026-10-21時点で「すでに攻撃に使われている」状態ではありません。
Googleは今回修正した10件のいずれについても、実環境での悪用（in the wild）は確認していないと報告しています。
米国CISAが悪用済みの脆弱性をまとめた「KEV（Known Exploited Vulnerabilities）カタログ」にも掲載されていません（TheHackerWire）。
また、今後30日間に悪用される確率を予測するEPSSという指標は0.28%と、低い水準です。
| 比較 | CVE-2026-110922（Chrome） | CVE-2026-96951（Windows、当サイト既報） |
|---|---|---|
| 実環境での悪用 | 確認されていない（2026-10-21時点） | 悪用が確認されていた |
| 読者に求める行動 | 早めの更新と再起動 | 即時の対応 |
当サイトで以前取り上げたWindowsのCVE-2026-96951は、すでに悪用が確認された脆弱性でした。今回のCVE-2026-110922は、それとは状況が異なります。過度に怖がる必要はありません。
ただし「悪用されていない＝放置してよい」ではありません。悪用の確認はあくまで2026-10-21時点の状況です。Criticalと判定された以上、状況が変わる前に更新を済ませておくのが確実です。
今すぐやるべきこと｜Chromeのバージョン確認と更新手順（3ステップ）
Chromeの更新は通常、バックグラウンドで自動的にダウンロードされます。ただし、適用するには「ブラウザの再起動」が必要です（Google Chrome ヘルプ）。
ダウンロードだけ済んで再起動していない状態では、古いバージョンのまま動き続けます。次の3ステップで確実に更新しましょう。
| ステップ | 操作内容 | 確認ポイント |
|---|---|---|
| 1 | 「Google Chromeについて」を開く | 表示されたバージョン番号 |
| 2 | 再起動ボタンが出ていればクリック | 開いていたタブは事前に保存 |
| 3 | もう一度「Google Chromeについて」を開く | 155.0.8059.84以降になっているか |
ステップ1: 「Google Chromeについて」でバージョンを確認する
Chrome右上のメニュー（縦の3点）から「ヘルプ」→「Google Chromeについて」を開きます。アドレスバーに chrome://settings/help と入力しても同じ画面が開きます。
| OS | 脆弱性の影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| Windows | 155.0.8059.84より前 | 155.0.8059.84/.85以降 |
| Mac | 155.0.8059.84より前 | 155.0.8059.84/.85以降 |
| Linux | 155.0.8059.84より前 | 155.0.8059.84以降 |
Windows/Macの「.85」という番号は二次情報源による記載で、NVDなど公式側の文言では確認できていません。迷ったら「155.0.8059.84以降か」で判断してください。
ステップ2: 再起動ボタンを押して更新を適用する
保留中のアップデートがある場合、この画面に再起動ボタンが表示されます。クリックするとChromeが再起動し、更新が適用されます。
入力途中のフォームなどがあれば、先に保存しておくと安心です。
ステップ3: 再起動後にバージョンを再確認する
再起動が終わったら、もう一度「Google Chromeについて」を開きます。バージョンが155.0.8059.84以降になっていれば対応完了です。
スマートフォンでChromeをお使いの方へ
ここまでの3ステップはPC版Chromeの手順です。Android版Chromeへの同じ修正の反映状況は、本記事の調査では確認できていません。
スマートフォンでChromeを使っている方は、アプリストア（Google Playなど）でChromeアプリが最新版になっているかを確認してください。
更新してもバージョンが変わらない・反映されない場合の対処法
再起動しても155.0.8059.84にならない場合は、次の点を確認してください。
- しばらく時間をおいて再確認する: 環境によっては、新しいバージョンが届くまで時間がかかることがあります。「Google Chromeについて」を開くと更新の確認が行われます
- 会社や学校のPCは管理者に確認する: 組織で管理されているPCでは、更新の可否が管理者の設定に左右されることがあります。自分で更新できない場合は、情報システム部門に問い合わせましょう
- 再起動ボタンが出ていないか見直す: 更新はダウンロード済みでも、再起動するまで適用されません。「Google Chromeについて」の画面に再起動ボタンが残っていないか確認してください
一部では、設定の変更でPrerender機能を無効にする回避策も紹介されています。ただしこれはGoogle公式の推奨策ではなく、本記事では確認できていません。正式な対処はアップデートであり、更新を最優先にしてください。
修正内容の一次情報は、Google公式のChrome Releases（2026年10月15日のリリースノート）に掲載されています。
まとめ｜今すぐChromeのバージョンを確認しよう
CVE-2026-110922は、Chrome 155で修正されたPrerender機能のUse-after-free脆弱性です。
Chromiumの深刻度分類でCriticalですが、2026-10-21時点で実際の悪用は確認されていません。
慌てる必要はありませんが、後回しにもしないでください。今すぐ「Google Chromeについて」を開き、155.0.8059.84以降になっているかを確かめましょう。
今後Criticalな脆弱性が出たときに備えて、次の2つを習慣にしておくと安心です。
- Chromeの自動更新は有効のままにしておく
- ブラウザを開きっぱなしにせず、ときどき再起動して更新を適用する
この記事を読み終えたら、まずはChromeのバージョン確認から始めてください。
