Google、2026年6件目のChromeゼロデイを修正 — Ethereum(ETH)ウォレットユーザーにリスク

Chrome 152.0.7977.82がV8の脆弱性を修正

Googleは、修正版の公開前から実際に攻撃が行われていた重大度「高」の脆弱性に対し、Chromeの緊急更新をリリースした。CVE-2026-85046として追跡されるこのバグは、Chrome内でJavaScriptとWebAssemblyを実行するエンジンであるV8に存在し、型の取り違え(タイプコンフュージョン)に分類される。この種の欠陥は、ソフトウェアがデータを誤った型として扱うことでメモリが破壊され、攻撃者がブラウザのサンドボックス内で任意の挙動へと連結できるようになる点が危険だ。木曜日に公開された公式のChrome Releases告知の中で、Googleはエクスプロイトが「野生に存在する(exists in the wild)」ことを確認した一方、大多数のユーザーおよび影響を受けるサードパーティ製プロジェクトが修正を適用し終えるまで、エクスプロイトの具体的な能力の詳細は公表を控えている。修正はWindowsとMac向けにChrome 152.0.7977.82および152.0.7977.83、Linux向けに152.0.7977.82として提供され、今後数日から数週間かけて展開される。この安定チャネル向け更新には合計12件のセキュリティ修正が含まれ、うち9件が重大度「高」、2件が「中」と評価されている。Googleのバウンティプログラムは、Serotavというハンドルネームで報告を行うセキュリティ研究者Salvatore Guliziaに対し、8月4日にこのV8のバグを開示した実績として1,000ドルの報奨金を支払った。攻撃者や被害者の特定、エクスプロイトを投入したキャンペーンの正体は明らかにされておらず、より詳しい技術詳細がいつ公開されるかも示されていない。V8のタイプコンフュージョン系バグは、ユーザーが読み込むあらゆるページにエンジンが関与する構造ゆえに、歴史的にChromiumの脆弱性の中でも最も深刻な影響を及してきた部類だ。対応はGoogle自身のチャネルを超えてエスカレートしており、CISA(米国サイバーセキュリティ・インフラセキュリティ庁)は9月4日、CVE-2026-85046を既知の悪用済み脆弱性カタログ(Known Exploited Vulnerabilities)に追加し、米連邦民間機関に対し9月18日を修正期限として設定した。Chromeにとってこれは2026年に修正された6件目のゼロデイであり、デスクトップウォレットからトランザクションに署名するすべてのユーザーにとって、ブラウザの衛生管理が運用リスクの最上位に居座り続けていることを物語るペースだ。

ブラウザウォレットは依然として標的

Googleはまだ、CVE-2026-85046と暗号資産窃取との関連を確認していない。しかしブラウザこそ、自己管理型の資産管理が実際に行われる場だ。Ethereum(ETH)のウォレット拡張機能、取引所のセッション、ポートフォリオのダッシュボードは、いずれもこのバグが潜む同じV8サンドボックス内で動作している。近年の記録は、攻撃者がこの攻撃面を別の扉からどう突くかを示している。2025年11月、研究者らはユーザーのスワップ処理に隠れたSOLの送金を注入し、取引が正常に見える状態で資金を吸い上げる悪意のあるChrome拡張機能を発見した。その1か月後には、シンガポールの起業家がゲームに偽装したマルウェアにより、ブラウザに接続されたウォレットから1万4,000ドル超を流出したと報告。彼は盗まれた認証トークンとそれ以前のChromeゼロデイを攻撃経路として挙げているが、現在のCVEとの関連は報告されていない。先月には、認証情報の収集だけを目的とした数十個の偽Firefoxウォレット拡張機能が研究者によって暴かれた。これらの事例はいずれもCVE-2026-85046そのものには関わっていないが、全体として見れば、ブラウザレベルのメモリバグが組み込まれる攻撃チェーンの設計図そのものだ。タブを侵害し、セッションを乗っ取り、被害者になり代わって署名する。共通する糸は、ブラウザのタブへの誤った信頼にある。そこでは、偽のエアドロップ名目の誘引から、レイヤー2ロールアップからレイヤー3エコシステムまでの新ネットワーク向けツールを装った拡張機能、さらにはマーケットメーカーが利用するダッシュボードに至るまで、あらゆる手口が展開されている。ブラウザウォレットに置かれた資本 — Circleが発行するUSDCのようなステーブルコインを含む — は、悪意のある拡張機能1つで露出状態に陥る。特にEthereum(ETH)のブラウザウォレットユーザーにとって、この更新の適用は任意の衛生管理ではなく、何かに署名するための前提条件だ。 市場をリアルタイムで追いたい読者は、Binanceで現物・先物価格をライブで確認できる。

次のセッション前に更新を

COINOTAGが一次記録を確認した結論は明快だ。Google自身のChrome Releases告知と、CISAの既知の悪用済み脆弱性カタログ — 本件における2つの権威ある文書 — はいずれも、修正版の出荷前に悪用が進行していたことを裏付けている。取るべきアクションは単純だ。「ヘルプ → Google Chromeについて」を開き、バージョンが152.0.7977.82以降であることを確認する。それを、ウォレットや取引所に触れる次のセッションより前に行うことだ。より深いトレンドとして、2026年だけで6件のChromeゼロデイが修正されたという事実は、ブラウザレベルの侵害が自己管理鍵への最も安価な侵入経路であり続けることを示唆する。秘密鍵がブラウザに触れることのないハードウェアウォレットは、意味のある残高に対して依然としてより強固な境界線であり続ける。