Googleは2026年11月6日、ChromeOSおよびChromeOS Flexの安定版（Stableチャンネル）向けに、セキュリティ修正を含むアップデートを公開しました。更新後のChromeOSはバージョン「16836.32.0」、内蔵Chromeブラウザは「156.0.8078.93」です。
公式リリースによると、修正対象として列挙されたChromeブラウザの脆弱性は10件。このうち7件が危険度「High（高）」で、WebXRやWebGLの解放後使用（Use after free）、CacheStorageの型の取り違え（Type confusion）などが含まれます。Googleの今回の告知には、これらの脆弱性が実際の攻撃で悪用されたとの記述はありません。
ChromeOS更新のサマリー
公表日：2026年11月6日（Google Chrome Releases）
対象：ChromeOS／ChromeOS FlexのStableチャンネル
リリース：M-156、ChromeOS 16836.32.0、内蔵ブラウザ 156.0.8078.93
修正対象：ChromeブラウザのCVE番号付き脆弱性10件
深刻度の内訳：Highが7件、Mediumが2件、Lowが1件
主な対象機能：WebXR、Media、WebGL、CacheStorage、Images、Navigation、Animation、Platform、Editing
利用者の対応：OSアップデートを確認し、ダウンロード済みの場合は再起動して適用を完了する
項目
内容
発表元
Google Chrome Releases
発表日
2026年11月6日
対象製品
ChromeOS、ChromeOS Flex
更新後のOSバージョン
16836.32.0
更新後のブラウザバージョン
156.0.8078.93
修正した脆弱性
10件（High 7件、Medium 2件、Low 1件）
対応
Stableチャンネルの最新更新を適用
修正された10件の脆弱性一覧
今回のリリースでGoogleが示した脆弱性は次のとおりです。「危険度」はGoogleの発表に記載された分類で、CVSSスコアを示すものではありません。
CVE番号
危険度
対象機能
脆弱性の種類
CVE-2026-121076
High
WebXR
解放後使用（Use after free）
CVE-2026-121208
High
Media
境界外読み取り（Out of bounds read）
CVE-2026-79235
High
WebGL
解放後使用（Use after free）
CVE-2026-121233
High
CacheStorage
型の取り違え（Type confusion）
CVE-2026-121184
Medium
Media
境界外読み取り（Out of bounds read）
CVE-2026-121213
High
Images
未初期化リソース（Uninitialized resource）
CVE-2026-121241
High
Navigation
解放後使用（Use after free）
CVE-2026-121201
High
Animation
解放後使用（Use after free）
CVE-2026-121135
Medium
Platform
セキュリティ上の問題（Security issue）
CVE-2026-121141
Low
Editing
不適切な入力検証（Improper input validation）
解放後使用は、解放済みのメモリ領域をプログラムが再び参照する問題です。型の取り違えは、データの種類に関する扱いが食い違うことで、意図しないメモリ操作などにつながるおそれがあります。境界外読み取りは、許可された範囲の外にあるデータを参照する問題です。ただし、実際に成立する攻撃や必要条件は脆弱性ごとに異なり、これらの分類だけで遠隔からの任意コード実行や情報窃取が可能と断定することはできません。
香港のコンピューター緊急対応チーム調整センター（HKCERT）も11月9日、ChromeOSの複数の脆弱性について注意喚起を公開し、条件によっては情報漏えいやセキュリティ制限の回避、遠隔コード実行などの影響が生じ得ると説明しています。
ChromeOS向けの更新であり、Windows・Mac向けChromeとは対象が異なる
Googleの11月6日付告知は、ChromeOS／ChromeOS FlexのStableチャンネル向けです。表題にChromeOS Flexが含まれ、本文ではChromeOS 16836.32.0と、その環境に組み込まれたChromeブラウザ156.0.8078.93への更新が案内されています。
Windows、macOS、Linux向けChromeブラウザの更新情報とは別のリリースです。企業が利用端末を管理する際は、デスクトップ版Chromeのバージョンだけでなく、ChromebookなどのChromeOS端末が適用済みのOSバージョンを確認する必要があります。
今回Googleが一覧化したのは「Chrome Browser Security Fixes」です。ChromeOS固有の別コンポーネントについて追加の脆弱性修正があったかどうかは、この告知には記載されていません。
関連資料
AI時代の脆弱性管理・パッチ管理｜運用見直しのポイントと製品選定の確認事項
脆弱性の優先順位付けから修復、暫定防御、パッチ管理まで、運用見直しと製品選定で確認したいポイントをまとめた資料です。
資料提供元：株式会社アズジェント
脆弱性管理の資料を見る
Chromebook・ChromeOS Flex端末の更新方法
Googleの公式ヘルプによると、Chromebookはインターネット接続中にOS更新を自動的に確認・ダウンロードします。ただし、更新の完了には再起動が必要です。
手動でバージョンを確認するには、画面右下の時刻から「設定」を開き、「ChromeOSについて」に進みます。「Google ChromeOS」の欄で現在のOSバージョンを確認し、「アップデートを確認」を選択します。更新が見つかった場合はダウンロードを行い、再起動して反映します。
企業や学校の管理対象端末では、管理ポリシーによって更新のタイミングが制御されている場合があります。一般利用者が更新を実行できない場合は、端末管理者へ確認してください。
また、古いChromebookには自動更新の提供期限が設定されています。更新が配信されない端末については、「ChromeOSについて」からサポート期限も確認し、必要に応じて端末の更新計画を見直します。
情報システム部門が確認したいこと
企業や教育機関でChromeOS／ChromeOS Flex端末を利用している場合、更新の配信開始だけで対応完了とせず、適用済みバージョンと再起動の状態を確認します。
まず端末台帳・管理コンソールでChromeOS端末を抽出し、OS 16836.32.0への更新状況を把握します。更新ファイルをダウンロード済みでも再起動前であれば、修正が有効になっていない場合があるため、利用者への再起動案内も確認対象になります。
次に、更新が遅れている端末の理由を調べます。長期間オフラインの端末、管理ポリシーによる配信遅延、更新サポート期限を過ぎた機器を切り分け、端末ごとに対応を決めます。認証、業務Webアプリ、周辺機器などの動作確認が必要な組織は、更新管理とあわせて検証します。
脆弱性の優先順位付けやパッチ適用の運用については、脆弱性管理の考え方と運用プロセスも参考になります。
今回のアップデートでは、Highに分類された脆弱性が7件含まれます。一方で、Googleの発表では実際の悪用事例や攻撃件数は示されていません。危険度の表示と攻撃の発生状況を分けて判断し、対象端末への更新適用を進めることが現実的な対応です。
出典
この記事をシェアする
メールマガジン
最新のセキュリティ情報やセキュリティ対策に関する情報をお届けします。
Googleアカウントへのログインが必要です
投稿者：三村
セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)