CVEノート

最近の脆弱性 › CVE-2026-2441

Google Chromium のuse-after-freeの脆弱性（CVE-2026-2441）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2026-2441
製品Google Chromium
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2026-02-17
米国政府機関の対応期限2026-03-10
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-416

何が起きた

Google Chromium の CSS を処理する部分に、使い終わったメモリをもう一度使ってしまう弱点（解放後使用）が見つかり、実際の悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者でも悪用できますが、被害者が細工したページを開く必要があります。成功すると、サンドボックスの中で任意の（攻撃者が好きに選べる）コードを実行される可能性があります。Google も、この弱点を悪用する手段が出回っていることを把握していると公表しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 被害者がそのページを開く → 3. CSS の処理で解放後使用が起きる → 4. サンドボックス内で任意のコードが動く1攻撃者が細工した HTML ページを用意する2被害者がそのページを開く3CSS の処理で解放後使用が起きる4サンドボックス内で任意のコードが動く攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 被害者がそのページを開く → 3. CSS の処理で解放後使用が起きる → 4. サンドボックス内で任意のコードが動く1攻撃者が細工した HTML ページを用意する2被害者がそのページを開く3CSS の処理で解放後使用が起きる4サンドボックス内で任意のコードが動く

誰が影響を受ける

Google Chrome の 145.0.7632.75 より前の版を使っている人が対象です。Chromium をもとにした Microsoft Edge や Opera などのブラウザも影響を受ける可能性があります。

何をすればいい

Google の公式の案内を確認し、Chrome を更新してください。修正版は Windows と Mac で 145.0.7632.75/76、Linux で 145.0.7632.75 です。Microsoft Edge や Opera など Chromium をもとにしたブラウザも、それぞれのメーカーの更新を当ててください。

やることチェックリスト

用語メモ

解放後使用
使い終わって手放したメモリを、プログラムが誤ってもう一度使ってしまう不具合です。
サンドボックス
プログラムを周りから切り離した囲いの中で動かし、被害を広げにくくする仕組みです。
Chromium
Google が中心となって作っている、Chrome などのもとになるブラウザのプログラムです。

元データ（英語・CISA KEV より）

Google Chromium CSS Use-After-Free Vulnerability

概要

Google Chromium CSS contains a use-after-free vulnerability that could allow a remote attacker to potentially exploit heap corruption via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

公式情報