全Chromium版に影響するサンドボックスRCE、実際に悪用中
Actively exploited sandbox RCE in all Chromium versions
Google Chrome 152.0.7977.82より前のバージョンに存在するV8の型混淆（type confusion）の脆弱性CVE-2026-85046が、実際に悪用されています。細工されたHTMLページにより、リモートの攻撃者がサンドボックス内で任意のコードを実行できる可能性があります。この脆弱性はCISAの既知の悪用脆弱性カタログに追加され、2026年9月18日までに修正が求められています。Chromeの安定版チャンネルアップデートで修正済みです。
細工されたHTMLページを介して、リモートの攻撃者がサンドボックス内で任意のコードを実行できる可能性があります。
HNでの議論
434- david_shaw
この脆弱性の金銭的価値について少し考えてみましょう。Chromeのリリースページ（https://chromereleases.googleblog.com/2026/09/stable-channel...）によると、Googleは倫理的な報告に対して研究者に1000ドルを支払いました。関連するCVE（CVE-2026-85046）はすでに実際に悪用されています。少し考えてみると、この脆弱性の実際の価値はいくらだと思いますか？Googleのような組織が、この脆弱性が発見され悪用される前に社内で検出するために、例えばAIトークンや計算リソースにいくら費やすと思いますか？倫理的な開示は複雑なトピックです。研究者がバグを人質に取ったり、高額な支払いを要求したりすべきではないからです。しかし同時に、誰かがこのような重大な問題を提出した場合、そのバグの実際の価値に見合った金額を支払うのが理にかなっています。なぜ研究者は、バグを「調査会社」や三文字機関に売る代わりに、責任を持ってベンダーに報告したことで事実上罰せられるのでしょうか？コミュニティに何かを提供しようとしているオープンソースプロジェクトのメンテナーであれば話は別です。しかし、Googleのような企業であれば、計算は大きく異なります。
- publlus_enigma
ほとんどのウェブページにアクセスするための必須条件として、インターネット経由で配信される任意のコード（JavaScriptやWASMの形で）を実行することを標準化したのは、私たちが下した最善の決断ではなかったかもしれません。
- claiir
主要なChromeの脆弱性はすべて型混淆（type confusion）じゃないの？
- ruuda
> V8の型混淆
幸い、私はデフォルトでJavaScriptを無効にしています。残念ながら、それでウェブの約30%が壊れます。nvd.nist.govも含まれ、JavaScriptなしでは完全に空白のページが表示されます。JavaScriptを有効にすると、単なる静的コンテンツのシンプルなページなのに。
- throwatdem12311
もううんざりだ。もうゴミ収集の仕事に就いて、インターネットを解約しようかな。
- Cider9986
Braveはアップデートの迅速さでGrapheneOSを上回っています：
https://github.com/GrapheneOS/Vanadium/releases
https://github.com/brave/brave-browser/releases
ただし、Nightlyを使う場合のみ。いや、待って、そうでもないかも。
- neuroticnews25
攻撃者にとって、セキュリティ上の理由で403になるissueにリンクしているChromiumリポジトリのすべての新しいコミットをLLMに分析させることが今や簡単になっていると思いますが、何か見落としているかもしれません。
- throwaway27448
いいね。本当のリークを見せてくれ。
- no-name-here
HNのタイトルが「すべてのChromiumバージョンに影響」というのは本当ですか？
OPのリンクによると、影響を受けるのは.82より前のChromeバージョンのみで、.82は2日前に安定版としてリリースされました。[1]
（HNのタイトルは元のタイトルとも一致していません。元のタイトルはCVE IDであり、あまり直感的ではありません。）
[1] https://chromereleases.googleblog.com/2026/09/stable-channel...
- snorbleck
つまり要するに、Edge、Brave、その他Chromiumベースのブラウザすべてが影響を受けると。なるほど。