話題
2026年9月5日
全Chromiumに実害悪用中のRCE脆弱性、海外エンジニアの反応
Google ChromeをはじめとするChromium系ブラウザのV8エンジンに、型混同に起因するサンドボックス内RCE(リモートコード実行)の脆弱性が見つかり、CISAの「既知悪用済み脆弱性カタログ」入りしたことがHacker Newsで話題になった。修正はバージョン152.0.7977.82ないし.83で行われており、CVSSスコアは8.8。スレでは「実際に悪用されている」という根拠の出典探しから始まり、「サンドボックス内RCE」が具体的に何を意味するのか、GrapheneOSのVanadiumは影響を受けるのか、そもそも脆弱性報奨金の額は適正なのかといった論点で議論が広がった。
全バージョンのChromiumに、実際に悪用が確認されているサンドボックス内RCE(リモートコード実行)の脆弱性がある
出典: nvd.nist.gov / 元記事はこちら
3
海外の名無しさん
2026-09-04 22:14
Braveはアップデートの速さでGrapheneOSに勝っている:https://github.com/GrapheneOS/Vanadium/releases https://github.com/brave/brave-browser/releases ……いや、Nightly版を使っている場合に限るから、やっぱり微妙かもしれない。
11
海外の名無しさん
2026-09-04 22:56
すでにGoogle Chrome (152.0.7977.83) では修正済みだ。
12
海外の名無しさん
2026-09-04 22:38
そもそもGrapheneOSは影響を受けるのか？デフォルト設定ではJITが無効になっているはずだが。
13
海外の名無しさん
2026-09-04 22:26
正式リリース版もたった今152.0.7977.83に更新されて、修正が入った。
4
海外の名無しさん
2026-09-04 23:19
HNのタイトルにある『実際に悪用されている』という部分の出典を持っている人はいる？
14
海外の名無しさん
2026-09-04 23:28
CISAの『既知悪用済み脆弱性カタログ』に載っていること自体がその根拠だ。CISAは実際に悪用された脆弱性の公式情報源を管理している、と説明がある。
15
海外の名無しさん
2026-09-04 23:28
多分このくだりのことだと思う。『このCVEはCISAの既知悪用済み脆弱性カタログに掲載されている』という一文がある。
16
海外の名無しさん
2026-09-04 23:26
『Googleは実際に悪用が存在することを確認しているが、更新の展開中は攻撃者や標的組織、攻撃キャンペーンについての情報は公開していない』とのこと。
5
海外の名無しさん
2026-09-04 22:10
スコアたったの8.8なのか？
7
海外の名無しさん
2026-09-04 23:09
Chromeを使わない理由がまた一つ増えた。uBlock Originを機能しなくさせるMV2の廃止もその一つだ。
18
海外の名無しさん
2026-09-04 23:41
Chromeのプロダクトマネジメントはひどいものだが、ソフトウェアエンジニアリングは史上最高クラスだ（ちなみに自分はテスト以外では使っていない）。
19
海外の名無しさん
2026-09-04 23:15
じゃあどのブラウザならセキュリティの実績が上なんだ？
20
海外の名無しさん
2026-09-04 23:45
ああそうか、他のブラウザには絶対バグが無いもんな。
8
海外の名無しさん
2026-09-04 23:19
1000ドルはこの脆弱性にしては笑えるほど安いという点には同意するが、『価値』を数値化するのは難しい。理論上会社に与えうる損害額を払うべきなのか、それとも悪意ある入札者が支払ってもいいと思う最高額を払うべきなのか？
22
海外の名無しさん
2026-09-04 23:29
理想を言えばオークション形式にして、ベンダーや政府が悪意ある入札者（それも政府かもしれない）と競り合えばいい。ただ実現するのは難しいだろうけど。
23
海外の名無しさん
2026-09-04 23:41
市場に決めさせればいい。Googleはブラックハットが使っているのと同じ市場でバグを買い取ることもできるはずだ。
9
海外の名無しさん
2026-09-04 23:28
『Googleのような組織が、実際に発見・悪用される前にこれを社内で検出するためにAIトークンや計算資源にどれだけ費やすと思うか』という点については、平均するとそれほど多くないはずだ。テストや静的解析、コードレビュー全体のコストを『未然に防いだバグ1件あたり』で償却するといくらになるのか、という話でもある。
17
海外の名無しさん
2026-09-04 22:14
サンドボックス内でのRCEだから、脱獄するには別のゼロデイと組み合わせる必要がある。
26
海外の名無しさん
2026-09-04 22:28
『サンドボックス内でのRCE』というのは、『Webページが任意のJavaScriptを渡してJSエンジンがそれを実行する』という以上の何を指していて、それでいてシステムからは隔離されたままだという状態を具体的にはどう説明するんだ？
35
海外の名無しさん
2026-09-04 22:31
サンドボックス内で任意のマシンコードを実行できる、ということを意味する。
36
海外の名無しさん
2026-09-04 23:11
メモリの分離があるので、片方のタブで銀行口座を開いていて、もう片方でこのページを開いていても、サンドボックスを越えて銀行口座の情報が漏れるわけではない。ただしページの一般的なコンテンツの中にあるものは何でも失われうる。
21
海外の名無しさん
2026-09-04 23:17
これ以上理由が必要だったとしても、な。
24
海外の名無しさん
2026-09-04 23:30
元記事にはこうある。『152.0.7977.82より前のGoogle ChromeにあるV8の型混同の脆弱性により、リモートの攻撃者は細工したHTMLページ経由でサンドボックス内で任意のコードを実行できた』。読み方が合っていれば、（.83より前の）152.0.7977.82で修正されたことになる。
25
海外の名無しさん
2026-09-04 23:08
Vivaldiをアップデートしたら152.0.7977.112と表示された。
27
海外の名無しさん
2026-09-04 22:53
『オンライン広告ネットワーク』で100ドルください、アレックス。
29
海外の名無しさん
2026-09-04 23:18
VanadiumはChromiumに対していくつも改良を加えている。https://grapheneos.org/features#vanadium
37
海外の名無しさん
2026-09-04 23:48
その改良のほとんどは単にフラグを変えているだけで、独自開発と言えるものではない。『JITを無効化』はChromiumのフラグだし、『すべてをゼロ初期化』はClangのフラグだ。
38
海外の名無しさん
2026-09-04 23:28
そうだね、でもそれは派生版に対する付加価値であって、独自のエンジンというわけではない。
30
海外の名無しさん
2026-09-04 23:23
uBlock Origin入りのFirefoxだ。uBOがブラウザエンジンに届く前に食い止めている攻撃の数には驚かされる。2020年代のアンチウイルスソフトのようなものだ。
39
海外の名無しさん
2026-09-04 23:35
Zen browser（Firefoxのフォーク）をお勧めする。Chromeに近い使用感がある。
31
海外の名無しさん
2026-09-04 23:48
Googleの法務部がこれに賛成するとは思えないな。
32
海外の名無しさん
2026-09-04 23:52
以前ならこれは、本来なら見つからなかったかもしれないバグ探しを助長すると思っていただろう。でも今は、見つけられるバグはすべて見つかるということがはっきりしている。だからこれは大いに理にかなっている。
40
海外の名無しさん
2026-09-04 22:57
ここで言う『サンドボックス』が具体的に何なのか、どんな隔離を提供しているのか知りたい人は多いと思う。権限のないプロセスのことなのか、Chromium固有の何かなのか、それともV8/JS的な仕組みなのか、など。
43
海外の名無しさん
2026-09-04 23:06
OS固有のカーネルのシステムコールフィルタリング機構を使っているようだ。Windows: [リンク] Linux: [リンク]
47
海外の名無しさん
2026-09-04 23:23
V8自体にも独自のサンドボックスがあって、それはさらにそのサンドボックスの中に存在していると思う。今回のエクスプロイトがRCEを持っているのはそちらの方だと推測するが、はっきりしない。
48
海外の名無しさん
2026-09-04 23:18
いいリンクをありがとう。
41
海外の名無しさん
2026-09-04 23:17
なるほど、でもそれがサンドボックス内で任意のJavaScriptを実行するのより、なぜセキュリティ上のリスクが大きいんだ？
45
海外の名無しさん
2026-09-04 23:23
本物のコード実行ができれば、他のバグを引き起こしてサンドボックスの外までエスカレーションできるからだ。JSの場合は、JSからネイティブへ抜け出すバグを別途見つける必要がある。JSのコード実行だけでは、まともなiOS/AndroidのRCEにはたどり着けない。
46
海外の名無しさん
2026-09-04 23:25
不正なポインタ書き込みなど、JSにはできないことができるようになる。ただ、それが自動的にシステムへのアクセスを意味するわけではないという点は、その通りだ。
49
海外の名無しさん
2026-09-04 23:36
今回のケースでは、プロセス内分離の回避にとどまらず、レンダラーを完全に制御できる状態にあると考えられる。
この話題の背景と論点
今回のCVEはV8エンジンの「型混同」バグで、CISAの「既知悪用済み脆弱性カタログ」に載ったことをもって「実際に悪用されている」と判断されている。スレで繰り返し確認されていたのは、Chromiumのサンドボックスがブラウザプロセスの権限をOS側のシステムコールフィルタで絞る仕組みと、V8自体が持つ内部サンドボックスという二重構造になっている点で、今回のRCEはその内側、V8のサンドボックス内での任意コード実行を指すとみられる。ここは誤解されやすく、「サンドボックス内RCE」は即座に端末全体への侵入を意味するわけではなく、外へ出るには別の脆弱性と組み合わせる必要がある。意見が割れたのは脆弱性報奨金の妥当性で、「市場に決めさせるべき」「Google自身がブラックマーケットで買い取ればいい」といった声がある一方、法務上の現実性を疑う声もあった。GrapheneOS(Vanadium)がChromiumに施す改良についても、独自エンジンではなくフラグ変更中心だという指摘があり、単純な「安全なブラウザ」比較には注意が必要という論調だった。
※本記事は5ch(Hacker News)スレッド「Actively exploited sandbox RCE in all Chromium versions 」より抜粋・要約して構成しています。
この記事のリアクション
😆 おもしろい 0 😮 びっくり 0 😢 かなしい 0 👍 わかる 0 😠 ひどい 0
まだコメントはありません。