社内に一斉メールを流しました。「Chrome に緊急の修正が出ています。至急アップデートをお願いします」。送信済みフォルダには 40 名分の宛先が残っています。
では、いま何台が修正済みで、何台が古いままでしょうか。この問いに答えられる会社は多くありません。依頼した記録は残っているのに、適用された記録が残っていない。 インシデントが起きたとき、監査で問われるのは前者ではなく後者です。
2026年9月4日に Google が緊急修正を出した CVE-2026-85046 は、その差がそのまま露出する種類の脆弱性でした。
今回の修正が「明日でいい」ものではない理由
CVE-2026-85046 は Chrome の JavaScript エンジン V8 における型混同の不具合です。深刻度は高、CVSS は 8.8 とされ、Google は既に悪用が確認されていると明言しています。細工された HTML ページを開くだけで、Chrome のサンドボックス内で任意のコードを実行される可能性があります。
一方で、過度に恐れる必要もありません。この不具合単体で OS 全体が乗っ取られるわけではなく、端末そのものを掌握するにはサンドボックスを抜け出す別の脆弱性との連鎖が要ります。それでも、社内の誰かが検索結果から踏んだ広告経由のページで発火し得るという意味で、放置していい時間は長くありません。
修正版は 152.0.7977.82 以降です。2026年に入って実際に悪用が確認された Chrome の脆弱性としては 6 件目にあたり、この頻度で来るものだという前提で運用を組むことが、個別の CVE への対応より効きます。
更新が届いていても、適用されていない
ここが実務でいちばん抜けます。Chrome は新しい版を裏側でダウンロードしますが、ブラウザを再起動するまで古い版のまま動き続けます。
そして多くの社員は Chrome を再起動しません。ノート PC は蓋を閉じるだけ、タブは 30 枚開きっぱなし、最後に閉じたのがいつか思い出せない。この状態の端末は、更新ファイルを受け取った後も何日も脆弱なままです。「アップデートをお願いします」というメールは、この状態を変えません。
管理コンソール側からは、これを二段構えで潰せます。
- 更新の適用を待たせず、一定時間後に再起動を促す通知を出す設定にする
- 猶予を過ぎた端末では再起動を必須にする
この設定を入れておくと、緊急修正が出るたびに人力で依頼を出す作業そのものが消えます。次に同じことが起きたときの対応時間が、数時間から実質ゼロになります。
台数を数えられる状態にする
「何台残っているか」を答えるには、社内の Chrome が管理コンソールから見えている必要があります。ここで使うのが Chrome Enterprise Core です。
Google Workspace を使っている会社であれば、追加のライセンス費用なしで利用できます。管理コンソールで発行した登録トークンを端末の Chrome に適用すると、その端末が「会社の端末」として一覧に載り、バージョン・最終利用日・拡張機能の状態が見えるようになります。利用者に個人の Google アカウントでログインさせる必要はありません。
登録が済むと、冒頭の問いに答えられるようになります。
| 見えるようになるもの | インシデント時に使う場面 |
|---|---|
| 端末ごとの Chrome バージョン | 未修正の端末が何台残っているかを数える |
| 最終同期日 | 長期間オフラインの端末を特定する |
| インストール済み拡張機能 | 危険な拡張が入った端末を絞り込む |
拡張機能の統制まで含めた設計は拡張機能をどこまで管理コンソール側で握るかで扱っています。今回のような緊急対応では、まずバージョンが見えることだけを目的に登録を進めるので十分です。
私物端末と、Chrome 以外のブラウザ
登録できるのは会社が配布した端末です。私物の PC から業務システムに入っている社員がいる場合、その端末のブラウザバージョンは把握できません。ここは端末管理の設計そのものの話になるため、私物端末をどこまで業務で許容するかの線引きと合わせて決める必要があります。
もう一点、見落とされやすいのが Chrome 以外です。V8 は Chromium の一部なので、Microsoft Edge、Brave、Opera、Vivaldi も同じ不具合を抱えます。Edge を既定ブラウザにしている部署があるなら、そちらの更新状況も別途確認が要ります。「Chrome は上げました」で完了にすると、Edge を使っている経理部だけが残る、という形になりがちです。
次にやること
まず、いま自社の Chrome が管理コンソールに登録されているかを確認してください。管理コンソールの Chrome ブラウザ一覧に端末が並んでいなければ、登録はされていません。管理コンソールで何がどこにあるかが分からない状態であれば、そこから確認する形で構いません。
登録されていない場合、緊急修正のたびに「依頼はした、適用されたかは分からない」という状態が繰り返されます。次の 1 件が来る前に、数えられる状態にしておくことが、個別の CVE を追いかけるより効きます。
社内の端末管理と Google Workspace の設定をどこから整理するか、現在の運用に何が足りていないかについては、グリームハブの IT・Google Workspace 無料相談で承っています。お問い合わせからご相談ください。
Sources
- Google Releases Chrome Update to Patch Actively Exploited V8 Zero-Day — The Hacker News
- Google Update For Actively Exploited Chrome Security Flaw Confirmed — Forbes
- Chrome の更新を管理する（Chrome Enterprise Core） — Chrome Enterprise and Education ヘルプ
- Chrome Enterprise Core — Chrome Enterprise and Education ヘルプ
