Chrome 148の脆弱性79件とは？148.0.7778.168などビルド別の修正内容と今上げる版【2026年10月】

2026年5月12日、GoogleはChrome 148のデスクトップ版を148.0.7778.167/168（Windows・Mac）と148.0.7778.167（Linux）へ更新し、79件のセキュリティ修正を配信しました。Criticalが14件含まれる、1回の更新としては目立つ内容です。148系の通常版には、その後5月19日と5月27日のセキュリティ更新などが配信され、6月2日にChrome 149が安定版へ昇格しました。2026年10月20日にはChrome 156が安定版になり、10月29日の156.0.8078.79/.80が10月31日時点の最新です。148のまま止まっている端末で動いているのは、現行版から数えて8世代前の版です。本記事では、79件の内訳、「148.0.7778.168」「148.0.7778.217」などのビルド番号がどの更新に当たるか、2026年に悪用されたChromeのゼロデイ、10月の155・156の更新内容、156系へ上げる手順を、Chrome Releasesの告知とChromium Dashの配信記録に沿って整理します。Chrome 148で入った新機能はChrome 148とは？リリース日・ビルド番号と変更点、Prompt APIとChromeOS 148の要点で扱っています。

まとめ：Chrome 148の79件は5月12日に修正済み・今は156系への更新が必要

• 5月12日の79件：告知の一覧に載るのは78件で、Critical 14件・High 36件・Medium 28件。外部研究者の報告は19件で、金額公表済み6件の報奨金小計は11万2,000ドル。悪用の記載は無い。
• ビルド番号：148.0.7778.167/168が5月12日、.178/.179が5月19日、.215〜.217が5月27日の更新。デスクトップの通常版の最後はWindowsの.218（5月29日）。
• 企業向けのExtended Stable：148系は5月5日から6月23日の148.0.7778.280まで配信され、6月30日に150系へ移った。その後152系を経て、10月下旬に156系へ切り替わっている。
• ゼロデイ：2026年にChrome Releasesで「悪用あり」とされた脆弱性は7件で、全てCISAのKEVに載っている。148系の期間中には無かったが、直後の6月8日にV8のCVE-2026-11645が149で修正された。KEVへのChromeの追加は9月9日が最後で、10月30日版のカタログまで新しい追加は無い。
• 今上げる版：2026年10月29日からデスクトップの安定版は156.0.8078.79/.80（Linuxは.79）。この告知は通常版とExtended Stableの両方に同じ番号を配っている。148系はもう修正を受け取れないので、156系へ上げて再起動まで終える。

Chrome 148.0.7778.167/168で修正された79件の深刻度と種類の内訳

2026年5月12日のChrome Releasesの告知は「This update includes 79 security fixes.」と書き、CVE番号付きの一覧を載せています。一覧に載るのは78件で、CVE-2026-8509から8587までの連番79個のうち、8568だけが一覧に見当たりません。報道では「High 37件」と書かれることがありますが、現在の告知の一覧で数えるとHighは36件です。

種類で見ると、解放済みメモリを使ってしまうUse After Freeが24件で最多、続いて整数オーバーフローが8件、ポリシー適用の不備が7件です。場所はGPU（8件）、ANGLE・Downloads・Media（各5件）に集まっています。告知は、多くのバグがAddressSanitizer・MemorySanitizer・libFuzzer・AFLなどの自動検査で見つかったと書いています。

Critical 14件の箇所とChromiumの深刻度基準

CriticalはCVE-2026-8509からCVE-2026-8522までの連番です。外部からの報告はWebMLのヒープバッファオーバーフロー（CVE-2026-8509）とSkiaの整数オーバーフロー（CVE-2026-8510）の2件だけで、残る12件はGoogle自身の報告です。12件のうち8件はUse After Freeで、UI・FileSystem・Input・Aura・HID・Blink・Tab Groups・Downloadsに分かれます。ほかはDataTransferの入力検証不足、WebShareのオブジェクトの寿命の問題、ANGLEの整数オーバーフロー、Paymentsの競合状態です。

Chromiumの深刻度の基準では、Criticalは「攻撃者が端末上のファイルやレジストリ、ネットワークなどを利用者の権限で読み書きできる」水準を指し、Webコンテンツから届くブラウザープロセスのメモリ破壊や、サンドボックスの外でコードが動く攻撃の連鎖が例に挙がっています。バグの詳細は「大半の利用者に修正が行き渡るまで」非公開のため、個々の悪用のしやすさは外からは判断できません。Criticalを含む更新は、内容を読み込むより先に配るのが筋です。

外部研究者による脆弱性の報告19件と11万2,000ドルの報奨金

外部報告19件のうち金額が示された6件の小計が11万2,000ドルで、残りは「TBD」（未定）です。

MojoはChromeのプロセス間通信の仕組みで、ここのUse After Freeは、描画プロセスのサンドボックスからブラウザー本体へ抜ける足がかりになり得ます。深刻度はHighでもCriticalのSkiaと同じ2万5,000ドルが付いており、深刻度の表示だけで優先度を決めない理由の1つです。

148.0.7778.168・.217など148系ビルド番号と配信日の対応

「148.0.7778.168」のような番号で検索して、自分の端末の版がどの更新に当たるかを知りたい場合は、次の表で引けます。デスクトップの告知はChrome Releases、告知に無いビルドはChromium Dashの配信記録から拾っています。

148系の行は、頭の「148.0.7778.」を省いて書いています。同じ日に2つの番号が並ぶ理由は告知に書かれていません。Chromium Dashでは、.168・.179・.217はWindowsのExtended Stableにも同じ日付で記録されています。判定は「148.0.7778.167以上なら5月12日の79件は直っている」と読めば足ります。5月5日の件数は公開当初の報道で127件とされましたが、現在の告知は126件です。

Extended Stableの148系は6月23日の148.0.7778.280が最終

8週間ごとにメジャー版が進む企業向けのExtended Stable（WindowsとMacのみ）は、5月5日に146系から148系へ移りました。通常版が149へ移った6月2日以降も148系の配信が続き、6月3日の.254、6月8日の.257、6月11日の.265、6月16日の.271を経て、6月23日の148.0.7778.280が最後です。6月30日には150系（150.0.7871.47）に切り替わりました。Extended Stableの告知はセキュリティ修正の内訳を載せないため、どのCVEがいつ入ったかは告知からは追えません。

ChromeOS・Android・iOSの148系の最終ビルド

デスクトップ以外は切り替わりの時期がずれます。ChromeOSは5月19日の148.0.7778.174（OS 16640.40.0）から6月11日の.263まで148系で、6月17日に149系へ移りました。Androidは6月2日の148.0.7778.217が最後で、iOSは5月12日の148.0.7778.166の後、5月20日に149へ進んでいます。版ごとの配信の終わり方はChrome 144とは？変更点・ビルド番号一覧とChromeOS LTS-144の終了でも同じ形で整理しています。

Chrome 148から156までの安定版昇格時のセキュリティ修正件数

5月12日の79件は、148系に配信されたセキュリティ更新の1回分です。各版が安定版になった日の告知に書かれた件数を並べると、次のようになります。

152から先は2週間ごとにメジャー版が進んでおり、156は予定どおり10月20日に安定版になりました。Chromium Dashの予定では157の安定版は11月3日です。1回あたり数百件の修正が2週間ごとに出る前提なので、件数の多さで緊急度を判断するのは役に立ちません。見るべきは「悪用あり」の記載の有無と、再起動まで終わった端末の割合です。

10月のChrome 155・156と156.0.8078.79/.80までの修正件数

本記事の前回更新（10月8日）では、更新先を155系と書き、156は予定として触れていました。10月の告知を並べると、6日から29日までの約3週間半で6回のセキュリティ更新が出ています。件数と深刻度は各告知の一覧で数えたものです。

Linuxは各回とも小さいほうの番号（156.0.8078.79など）です。どの告知にも「exists in the wild」（悪用あり）の記載はありません。

Chrome 156の安定版昇格時に修正された353件の深刻度別の内訳

10月20日の告知は、156.0.8078.47（Linux）と156.0.8078.47/.48（Windows・Mac）で353件の修正を配ったと書いています。一覧で数えるとCritical 6件・High 61件・Medium 197件・Low 89件です。Criticalの6件はSkia・Accessibility（2件）・CSS・Paint・WebRTCで、5件が「Memory corruption」、1件がAccessibilityのUse After Freeです。昇格時の告知は件数が多くなる傾向があり、148の126件、155の247件と比べても多い回でした。

10月27日と29日の追加修正、Critical計5件の箇所

10月27日の156.0.8078.73/.74は52件（Critical 4件・High 46件・Medium 2件）で、CriticalはFileSystemのメモリ破壊（CVE-2026-118306）、FileAPIとSkiaの入力検証不足（CVE-2026-118331・118348）、LayoutのUse After Free（CVE-2026-118344）です。2日後の10月29日の156.0.8078.79/.80は21件（Critical 1件・High 19件・Medium 1件）で、CriticalはMediaStreamのメモリ破壊（CVE-2026-76024）です。この29日の告知は「The Stable and Extended Stable channel has been updated」と書き、通常版と企業向けのExtended Stableに同じ番号を配っています。

Extended Stableも152系から156系へ移った

Extended Stableは10月15日の152.0.7977.169（10件の修正）まで152系でした。GoogleのVersion History APIでWindowsのExtended Stableの配信記録を引くと、10月20日から156.0.8078.48が一部に配られ始め、10月26日に配信割合が全体（fraction 1）になっています。Chromeの公式ブログが2週間周期への移行時に予告した「Extended Stableの次は156」のとおりで、152系に置いていた端末は156系の検証を済ませる時期に入りました。

9月9日以降のKEVにおけるChromeの新規追加の有無と確認結果

CISAのKEVのJSONフィード（catalogVersion 2026.10.30）でGoogle Chromium・Skia関連の2026年の登録を拾うと、最後はV8のCVE-2026-87491（2026年9月9日追加・対応期限9月23日）です。10月の6回の告知にも悪用ありの記載は無いため、10月31日時点では「急いで再起動させる緊急案件」は出ていません。ただし156系の修正にはCriticalが計11件含まれており、10月20日以降の更新を受け取っていない端末は、通常どおり1週間以内に再起動まで終わらせる対象です。

2026年に悪用が確認されたChromeのゼロデイ7件とKEVへの追加日

5月12日の79件には、悪用されているという記載はありません。2026年1月から10月31日までのChrome Releasesの告知で「Google is aware that an exploit for CVE-… exists in the wild.」と書かれたのは次の7件で、いずれもCISAのKEV（既知の悪用された脆弱性カタログ）に載っています。

7件中4件がJavaScriptエンジンのV8で、残りは描画系のCSS・Skia・Dawnです。KEVへの追加は告知の当日から4日以内で、米国の連邦機関に課される対応期限は追加から2〜3週間です。148系の通常版の端末は6月8日のCVE-2026-11645の修正を受け取れないため、148のまま止まっていた端末はこの時点でゼロデイを抱えたことになります。ChromeとEdgeに共通するゼロデイの読み方はCVE-2025-14174とは？Chrome 143.0.7499.109とEdge 143.0.3650.80で直ったANGLEのゼロデイ、CVEやKEVの仕組み自体は脆弱性とは？種類・CVE/CVSSの仕組みと発見から修正までの実務を解説で扱っています。

Chromeのバージョン確認と156系への更新・再起動の手順

2026年10月31日時点のデスクトップの安定版は156.0.8078.79/.80（Windows・Mac）と156.0.8078.79（Linux）で、10月29日の告知ではExtended Stableも同じ番号に更新されています。156は安定版になった10月20日の告知で353件の修正を含み、悪用ありの記載はありません。今の安定版の番号と更新の全体像はChrome最新バージョンは155（2026年10月）｜確認・更新方法とバージョン履歴一覧で確認できます。

画面とコマンドでインストール済みのChromeのバージョンを確認する方法

画面では、右上のメニューから「ヘルプ」、「Google Chrome について」の順に開くと現在の版が表示され、その場で更新の確認が始まります。「再起動」のボタンが出たら、押すまで修正は効きません。台数が多い場合はコマンドで集めます。

# Windows（PowerShell）：マシン単位のインストール
(Get-Item "C:\Program Files\Google\Chrome\Application\chrome.exe").VersionInfo.ProductVersion

# Windows（PowerShell）：ユーザー単位のインストール
(Get-Item "$env:LOCALAPPDATA\Google\Chrome\Application\chrome.exe").VersionInfo.ProductVersion

# macOS
defaults read "/Applications/Google Chrome.app/Contents/Info" CFBundleShortVersionString

# Linux（Debian・Ubuntu系の公式パッケージ）
google-chrome --version

ここで分かるのはディスク上の版です。更新をダウンロード済みでも、開いたままのブラウザーは古い版で動き続けます。実行中の版は、そのブラウザーで「Google Chrome について」を開いて確かめます。

配信中の最新版をVersion History APIで取得して端末の版と比べる

「今の最新はいくつか」を毎回告知で確かめる代わりに、GoogleのVersion History APIから配信中の版を取れます。filter=endtime=noneを付けた場合、返されるのは配信が終わっていない版だけです。次のPythonは標準ライブラリだけで動き、全員向けに配られている最新版と端末の版を比べます。

import json, urllib.request

URL = ("https://versionhistory.googleapis.com/v1/chrome/platforms/win/"
       "channels/stable/versions/all/releases?filter=endtime=none")

def ver(s):
    return tuple(int(x) for x in s.split("."))

releases = json.load(urllib.request.urlopen(URL, timeout=20))["releases"]
for r in releases:
    print(r["version"], r["fraction"])

# fraction=1（全員向け）の版だけを基準にし、一部配信の先行版は除く
full = [ver(r["version"]) for r in releases if r["fraction"] == 1]
newest = max(full)
local = ver("148.0.7778.168")  # 端末で確認した版に置き換える
print("全員向けの最新:", ".".join(map(str, newest)))
print("要更新" if local < newest else "最新")

2026年10月31日に実行すると、156.0.8078.74・.76・.79・.80と、ごく一部向けの157.0.8103.26/.27などが返り、「全員向けの最新: 156.0.8078.80」「要更新」と出ました。fractionは配信対象の割合で、先行配信（Early Stable）の157は0.005のように小さい値になります。単純に最大の番号を取ると先行版を最新と誤るため、上の例では全員向けの版だけで比べています。Macはplatforms/mac、Linuxはplatforms/linux、Extended Stableはchannels/extendedに置き換えます（Linuxにextendedはありません）。

Chromeの再起動を強制する通知ポリシーと古い版の期限短縮の設定例

開いたままの端末では、更新をダウンロードしていても再起動まで修正が効きません。Chromeのポリシーで、再起動を求める通知と期限を決められます。

HKLM\SOFTWARE\Policies\Google\Chrome
  RelaunchNotification        REG_DWORD  2          （1＝推奨の通知、2＝期限で再起動を強制）
  RelaunchNotificationPeriod  REG_DWORD  86400000   （期限をミリ秒で指定。この例は24時間）
  RelaunchFastIfOutdated      REG_DWORD  7          （実行中の版が7日を超えて古いと期限を2時間に短縮）

Chromiumのポリシー定義では、RelaunchNotificationPeriodの既定は604,800,000ミリ秒（7日）、最小は3,600,000ミリ秒（1時間）です。Chrome 137で入ったRelaunchFastIfOutdatedは日数を指定し（最小7）、実行中の版が最後に配信されてからその日数を超えたときだけ、期限を2時間に上書きします。上の例は通常の猶予を24時間にしたうえで、7日を超えて古い版のまま動いている端末だけ2時間で再起動させる設定です。猶予を既定の7日に戻すならRelaunchNotificationPeriodを604800000にします。10月は約3週間半で6回の更新が出たので、7日の猶予のままでは、再起動の前に次の更新が届く端末が出ます。

Chromeの大量修正に組織で追いつくための更新期限の決め方

基準は3つに絞れます。悪用ありの記載かKEVへの追加があれば、数日以内に全端末を再起動まで終わらせる。それ以外の更新は、Criticalを含んでいても1週間以内に行き渡らせる。業務アプリとの互換性を確かめたい部署だけをExtended Stableに置き、残りは通常版の自動更新に任せる。

避けるべきなのは、互換性の確認を理由に通常版の特定のメジャー版で更新を止める構成です。148系の通常版は5月29日の配信が最後で、その後に修正された3件のゼロデイ（CVE-2026-11645・85046・87491）は届きません。Extended Stableの148系も6月23日で止まっているため、9月の2件は届きません。版を固定したいならExtended Stableに移す、それもできない端末は固定をやめる、のどちらかです。Extended Stableは通常版が2週間周期になった後も8週間ごとに進みます。Chromeの公式ブログは次の例として156・160を挙げており、実際に10月下旬に152系から156系へ移りました。ここに置いた端末も次は160へ上がる前提で検証の計画を立てます。

ブラウザーの外側の防御も重ねておきます。危険なサイトやダウンロードを止めるセーフブラウジングの保護強化は、未修正の脆弱性を突くページに近づく機会を減らします（セーフブラウジングとは？保護強化機能と標準保護の違い・デメリットとChromeの設定）。社外に公開しているWebシステムの弱点まで含めて点検したい場合は、脆弱性診断・セキュリティ診断で第三者に確かめてもらう方法もあります。149系の表示の読み方はChrome 149.0とは？ログイン通知に出る意味と配信期間・今の版との差で解説しています。

よくある質問

Chrome 148の脆弱性とビルド番号について、よく検索される質問をまとめます。

Chrome 148の79件の脆弱性は悪用されていますか？

2026年5月12日の告知に、悪用されているという記載はありません。ただし直後の6月8日、Chrome 149.0.7827.102/103でV8のCVE-2026-11645が悪用ありとして修正され、翌日KEVにも追加されました。148系の通常版はこの修正を受け取れないため、148のままの端末は156系へ上げてください。

148.0.7778.168はいつの版で、安全ですか？

2026年5月12日にWindowsとMacへ配信された版で、79件の修正を含みます。ただしその後の5月19日（16件）、5月27日（151件）の修正と、6月以降のゼロデイの修正は入っていません。5か月以上前の版なので、今使っているなら10月29日の156.0.8078.79/.80への更新が必要です。

148.0.7778.217は何の版ですか？

5月27日の更新で配信されたWindows版の番号の1つで、Macでは5月29日、Androidでは6月2日に同じ番号が出ています。Androidでは148系の最後の版です。デスクトップ版では151件の修正を含みます。その後もWindowsの.218（5月29日）やExtended Stableの.280（6月23日）が出ましたが、148系の配信はいずれも止まっているため、156系への更新が必要です。

Chrome 148のままで使い続けても大丈夫ですか？

おすすめできません。通常版の配信は2026年5月29日、Extended Stableでも6月23日の148.0.7778.280で止まっており、その後に修正された3件のゼロデイ（CVE-2026-11645・85046・87491）のうち、通常版の端末には3件とも、Extended Stableの端末にも9月の2件が届きません。2026年10月31日時点のデスクトップの安定版は156.0.8078.79/.80で、11月3日には157の安定版が予定されています。

Extended Stableにすれば更新の手間は減りますか？

メジャー版の切り替えが8週間ごとになるので、業務アプリの互換性を確かめる回数は減ります。対象はWindowsとMacだけです。セキュリティ修正はExtended Stableにも毎週のように届くため、更新と再起動そのものは無くなりません。2026年10月下旬にExtended Stableは152系から156系へ移り、10月29日の156.0.8078.79/.80は通常版と同じ番号で配られました。

関連記事

• Chrome 148とは？リリース日・ビルド番号と変更点、Prompt APIとChromeOS 148の要点
• Chrome最新バージョンは155（2026年10月）｜確認・更新方法とバージョン履歴一覧
• Chrome 144とは？変更点・ビルド番号一覧とChromeOS LTS-144の終了
• CVE-2025-14174とは？Chrome 143.0.7499.109とEdge 143.0.3650.80で直ったANGLEのゼロデイ
• Chrome 149.0とは？ログイン通知に出る意味と配信期間・今の版との差