Google Chromeに重大な脆弱性、アップデートを

Kaspersky Labは3月25日(現地時間)、「Operation ForumTroll exploits zero-days in Google Chrome｜Securelist」において、Google Chromeから重大な脆弱性が発見されたと報じた。

脆弱性がある状態のGoogle Chromeから悪意のあるWebサイトにアクセスしただけで、リモートコード実行(RCE: Remote Code Execution)が行われる可能性があるとしている。

• 

  Operation ForumTroll exploits zero-days in Google Chrome｜Securelist

侵害経路

Kaspersky Labは発見したサイバー攻撃キャンペーンを「Operation ForumTroll」と名付け追跡している。このキャンペーンはロシアのメディア、教育機関、政府機関を標的に実行され、初期の侵害経路としてフィッシングメールが用いられたという。

• 

  フィッシングメールの例 　引用：Securelist

被害者がメールに記載されたリンクにアクセスすると、悪意のあるWebサイトはサンドボックスをまるで存在しないかのように回避し、追加のエクスプロイトを実行したとされる。サンドボックス回避の原因はChromeの脆弱性にあり、Windowsに関係した論理エラーで引き起こされると指摘している。

Kaspersky Labはユーザー保護を優先したことで追加のエクスプロイトの入手に失敗している。そのため、これ以降の侵害経路についてはわかっていない。最終的な配布物はトロイの木馬とされ、目的はスパイ活動と推測されている。

Chromeの脆弱性

発見されたChromeの脆弱性は「CVE-2025-2783」として追跡されている。Kaspersky Labは責任ある情報開示に基づき、技術的詳細についてはアップデートが行き渡るまで公開を遅らせると発表した。

Googleが公開したセキュリティ脆弱性の概要は次のとおり。

• CVE-2025-2783 - Windows上のMojoにおいて、不特定の状況で不適切なハンドルを提供する

アップデートを公開

Googleは脆弱性の報告を受け、3月25日(米国時間)にセキュリティアップデートを公開した。脆弱性を修正したとされる製品およびバージョンは次のとおり(参考：「Chrome Releases」)。

• 安定版 (Windows) - 134.0.6998.177/.178
• 拡張安定版 (Windows) - 134.0.6998.178

この脆弱性はWebサイトにアクセスしただけで侵害される可能性があり注意が必要。WindowsのChromeユーザーは、速やかにアップデートすることが推奨されている。