Google、Chrome のゼロデイ脆弱性を修正——V8 の型混同（CVE-2026-85046）、悪用を確認済みで今年6件目

Google が9月3日の Chrome 安定版更新で、JavaScript エンジン V8 のゼロデイ脆弱性「CVE-2026-85046」を修正しました。
細工されたページを開くだけで、Chrome のサンドボックス内で任意のコードを実行されうる「型の取り違え（type confusion）」の不具合です。
深刻度は高（CVSS 8.8）とされ、Google は実際に悪用が行われていることを確認したと述べています。
修正版は Windows と macOS が 152.0.7977.82／.83、Linux が 152.0.7977.82 です。

米国の CISA は9月4日、この脆弱性を「悪用が確認された脆弱性カタログ（KEV）」へ追加し、連邦機関に9月16日までの対応を求めました。
Chrome で悪用済みのゼロデイが塞がれたのは、今年に入って6件目になります。
攻撃の手口や標的については、更新の配信が続いているあいだは公表を控えるという、いつもの運びです。

サイトを運用する側にとっては、他人事の話ではありません。
管理画面はブラウザで開くものですから、更新の遅れた端末が一台混ざっているだけで、そこが入り口になり得ます。
Chrome はメニューの「ヘルプ ＞ Google Chrome について」を開けば更新が始まりますが、再起動するまで適用されません。
いちばん危ないのは「ダウンロードは済んでいるが、まだ閉じていない」端末です。

Edge や Brave のように Chromium を土台にしたブラウザも、同じ問題の影響を受けます。
各社の修正版が届く時期はそれぞれ違うので、社内で使っているブラウザの種類ごとに確認しておくと安心です。
サイトの守りは、サーバー側の設定だけでは完結しない——こういう更新が出たときに、それを思い出しています。