cve-ja
← 新着
CVE

細工したページを開くだけで、ブラウザの中で不正なプログラムを実行されるおそれ。

XML 処理における解放済みメモリの使用。対象は Google Chrome（157.0.8103.50 未満）。

CVE-2026-125350EUVD-2026-121390GHSA-RM6P-3338-XX33至急

一言・影響を受ける人・対策は AI（sonnet）が元の説明文から作成。版の番号などは元の文と機械で照合した。対応の前に元の告知を確かめてほしい。誤りに気づいたら運営者へ。

CVSS
8.8
High
CISA
悪用
確認済み（CISA KEV）
11/10 に追加
PoC
公開（2件）
初出 11/11・未検証
修正
修正版あり
157.0.8103.50 以降
国内
報道あり
Security NEXT（11/12）
まずやること：Chrome を 157.0.8103.50 以降に更新する
公開
2026年11月10日
最終更新
2026年11月11日
優先度の理由
悪用確認済み・PoC 公開
最終確認
2026年11月13日
EPSS
0.96%
PoC
2件（未検証）
攻撃の条件
ネット越し・ログイン不要・相手の操作が要る
国内
国内報道（Security NEXT）

概要

細工したページを開くだけで、ブラウザの中で不正なプログラムを実行されるおそれ。

元の説明（英語）を読む

Use after free in XML in Google Chrome prior to 157.0.8103.50 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High)

影響を受ける人

Google Chrome を使う人

対策

  • Chrome を 157.0.8103.50 以降に更新する

国内の動き

海外の動き

PoC

リンクだけを載せる。中身は確かめていない。

偽物やマルウェア入りが混じる（GitHub の PoC の 1.9〜10.3% に悪意の兆候があったという研究がある）。動かすのは、自分の検証用の環境で、中身を読んでからにする。他人のシステムに向けない。
Frostmoon39206/CVE-2026-125350-PoC↗★ 4 · 11/10 作成 · 攻撃コードらしいTechnical analysis and skeleton PoC for CVE-2026-125350 (Chrome XML UAF)TJT001/CVE-2026-125350-PoC↗★ 0 · 11/11 作成 · 攻撃コードらしいGoogle Chrome XSLT pattern-cache Use-After-Free (CVE-2026-125350) crash PoC — affected < 157.0.8103.50ashrafzaryouh/CVE-2026-125350↗★ 0 · 11/10 作成 · その他CVE-2026-125350al4n4n/CVE-2026-125350↗★ 0 · 11/13 作成 · その他Moved to al4n4n/achilles-heel: https://github.com/al4n4n/achilles-heel/tree/main/CVE-2026-125350

経過

2026年11月10日・一次情報
脆弱性が公開された
2026年11月10日・悪用確認
CISA が KEV に追加（悪用を確認）（Bluesky で元の投稿に返信）
2026年11月11日・PoC
GitHub に PoC が出た（未検証）（Bluesky で元の投稿に返信）
2026年11月12日・国内
Security NEXT が報道

影響する版

Google Chrome157.0.8103.50 未満が対象（157.0.8103.50 で修正）