チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「Chromeのアップデートをしばらく放置してたけど、大丈夫でしゅか？」
「ゼロデイって聞いたけど、いつものアップデートと何が違うんでしゅか？」
チップスボス！Chromeにまたゼロデイが出たって聞いたんでしゅが……しかも今年7件目でしゅか？
ボスそうだ。CVE-2026-87491、V8エンジンのOut-of-Bounds Writeだ。すでに野外で攻撃に使われている以上、今日中にアップデートしないといけないな。
Googleは2026年9月9日、Chrome 153をリリースし230件の脆弱性を修正しました。
そのなかで最も緊急性が高いのがCVE-2026-87491——V8 JavaScriptエンジンのOut-of-Bounds Write（OOB Write）で、すでに野外での悪用が確認されています。
2026年にGoogleが修正した野外悪用済みChromeゼロデイとして7件目となります。
この記事ではV8のOOB Writeがどんな脆弱性で、なぜ危険なのかを解説します。
「ゼロデイとただのバグ修正は何が違うのか」も合わせてわかります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
Googleは9月9日、Chrome 153をWindows・macOS・Linux向けに安定版チャンネルへ配信しました。
修正件数は230件で、そのうち最も緊急性が高いのがCVE-2026-87491です。
CVE-2026-87491の概要は以下の通りです。
| 項目 | 内容 |
|---|---|
| 影響コンポーネント | V8 JavaScript/WebAssemblyエンジン |
| 脆弱性の種類 | Out-of-Bounds Write（境界外書き込み） |
| 深刻度 | Medium（野外悪用確認済み） |
| 発見者 | Jihyeon Jeong（Compsec Lab, Seoul National University） |
| バグバウンティ | 2,500ドル |
| 修正バージョン | 153.0.8010.36/37（Win/Mac）・153.0.8010.36（Linux） |
深刻度は「Medium」ですが、野外での悪用が確認されているため実質的な危険度はより高いです。
Googleは多数のユーザーが更新するまで脆弱性の詳細へのアクセスを制限しており、攻撃手法の詳細は非公開となっています。
2026年にGoogleが修正した、野外で悪用されたChromeゼロデイとして今回が7件目で、他の6件はCVE-2026-2441・CVE-2026-3909・CVE-2026-3910・CVE-2026-5281・CVE-2026-11645・CVE-2026-85046です。
V8はChromeとNode.jsで使われるJavaScriptエンジンです。
Webページのスクリプトを高速実行するために使われており、ほぼすべてのWebページがV8を通して動いています。
OOB Write（境界外書き込み）は、メモリのアクセス許可範囲外にデータを書き込んでしまうバグです。
攻撃者がこれを意図的に引き起こすと、隣接するメモリ領域を上書きしてプログラムの挙動を制御できます。
具体的には、細工されたHTMLページを介してリモート攻撃者がサンドボックス内で任意のコードを実行できます。
CVE-2026-87491は、細工されたHTMLページを介してリモート攻撃者が悪用できます。
メールのリンク・広告・侵害されたWebサイトなど、日常的な経路で攻撃できてしまいます。
チップス普通にリンクをクリックするだけで攻撃されるかもしれないでしゅか！？それは怖いでしゅ……
ボスだから即時アップデートが鉄則だ。「あとで」は通用しない。今すぐバージョンを確認しろ。
CVE-2026-87491は深刻度「Medium」ですが、野外での悪用が確認されている以上、即時アップデートが必要です。
Googleが新たに導入した2週間リリースサイクルのもと、次のパッチまでの間隔は短くなりましたが、それでも「次のアップデートまで待つ」は危険な選択です。
Chromeのアップデート手順は次の通りです。
右上の「︙」メニュー→「ヘルプ」→「Google Chromeについて」を選んでください。
「153.0.8010.36」以降が表示されていれば適用済みです。それ以前のバージョンは即時アップデートが必要です。
更新ボタンが表示されたらクリックし、ブラウザを再起動してください。再起動しないとパッチが有効になりません。
「深刻度Medium」という数字より「野外悪用が確認済み」かどうかを判断基準にする習慣が、セキュリティの実務では最も重要です。
ボスCVSSの数字だけで判断しない。悪用実績があれば即動く——それが実務のセキュリティだ。
チップスはい！バージョン確認してきまでしゅ。「Chromeについて」でしゅよね！
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
