2026年5月第5週・自動車サプライヤー向けPSIRT週報
2026年5月25日から5月31日
確認事項
本報は、2026/05/25 00:00 JSTから2026/05/31 23:59 JST を対象期間とし、公開日または重要更新日が対象期間内にある情報だけを対象に、一次情報優先で評価した週報です。技術深刻度と対応優先度は分離し、後者は自動車影響・運用影響・緊急度を分けて判定しています。
厳格な採用条件を満たして本文の採用扱いにできたのは Google Chrome Stable Channel Update for Desktop 1件でした。対象期間内に強いシグナルを示す候補は他にもありましたが、一次情報URLを直接取得できなかった、または一次情報の日付が対象期間外であったため、採否ログで除外理由を明示します。
エグゼクティブサマリ
対象期間内で最も高信頼に採用できたのは、Google Chrome Stable Channel Update for Desktopです。Google は 2026/05/27 に Desktop Stable チャンネル更新を公開し、151 件の security fixes を含むと明記しました。
公開された代表 CVE には、GPU の out-of-bounds write、Network の use-after-free、Dawn の use-after-free、WebGL の out-of-bounds read / use-after-free、WebView の use-after-free など、レンダリング系・メモリ破壊系の重大不具合が含まれます。
車載IVI/HMIで Chromium 系レンダラや WebView 相当を採る構成、あるいはサプライヤー開発端末で Chrome を日常利用する構成では、車載表示系・検証端末・開発ワークフローに横断的な影響可能性があります。一次情報では active exploitation の明記がないため P1 ではなく、対応優先度 P2 と判定しました。
- Chrome 更新確認
Windows/macOS/Linux の Chrome を 148.0.7778.216/217 系以降へ統一し、反映確認を取る。 - IVI/HMI・WebView棚卸し
Chromium 系レンダラ、埋め込み WebView、Electron 系ラッパーの採用有無を確認。 - 採用外候補の監視
PAN-OS、CISA Nx Console / Megalodon 関連は証拠基準外でも監視ボードに置く。
脆弱性一覧
| 採否 | 公開日・更新日 JST | 製品 / テーマ | 代表CVE | 技術深刻度 | 対応優先度 | 自動車影響 |
|---|---|---|---|---|---|---|
| 採用 | 2026/05/27 | Google Chrome Stable Channel Update for Desktop | CVE-2026-9872, 9873, 9874, 9875, 9876, 9888, 9894 ほか | Critical〜High。151件の security fixes を含み、GPU / Network / Dawn / WebGL / WebView の Critical/High を明示。 | P2 | 高。IVI、HMI、ブラウザ埋め込みUI、診断/整備用Web UI に波及しやすい。 |
個別詳細
Google Chrome Stable Channel Update for Desktop
Google は 2026/05/27 に Desktop Stable Channel 更新を公開し、Windows、macOS、Linux 向けに 148.0.7778.216/217 系への更新を案内しました。一次情報では、この更新に 151 件の security fixes が含まれると明記されています。
代表的な Critical/High の公開項目として、CVE-2026-9872: Out of bounds write in GPU、CVE-2026-9873: Use after free in Network、CVE-2026-9874: Use after free in Dawn、CVE-2026-9875: Out of bounds read in WebGL、CVE-2026-9876: Use after free in WebGL、CVE-2026-9888: Use after free in WebView、CVE-2026-9894: Use after free in GPUなどが列挙されています。
Google は一部のバグ詳細を更新普及まで制限するとしており、CVSS v3.1 の一次情報公表は確認できませんでした。そのため、本報ではベンダー severity を技術深刻度の主判定に使っています。
この更新を自動車観点で重視する理由は、GPU / WebGL / WebView / Browser / Network といった、表示系・Web描画系・埋め込みUI系に直結する不具合が並んでいるためです。Chromium 系描画を採るIVI/HMI、整備・診断用のブラウザUI、社内検証ベンチ、OTA 管理やアフターサービス向けWebアプリでは、悪意あるコンテンツや細工済みページの解釈経路を通じて影響し得ます。
代表CVEの要約
| CVE | 一次情報上の記述 | 技術深刻度 | 自動車観点の含意 |
|---|---|---|---|
| CVE-2026-9872 | Out of bounds write in GPU | Critical | GPU 経路のメモリ破壊は、IVI/HMI の描画経路で特に要注意。 |
| CVE-2026-9873 | Use after free in Network | Critical | Web コンテンツ取得経路での不正入力処理に関係しうる。OTA 管理ポータル閲覧端末でも注意。 |
| CVE-2026-9874 | Use after free in Dawn | Critical | GPU/グラフィクス周辺の描画経路での高度な不具合。高機能UIほど影響評価が必要。 |
| CVE-2026-9875 | Out of bounds read in WebGL | Critical | WebGL を使う車載/検証UI、3D表現を持つHMIで注意。 |
| CVE-2026-9876 | Use after free in WebGL | Critical | 描画系の安定性・安全性影響があり、細工済みコンテンツで問題化しやすい。 |
| CVE-2026-9888 | Use after free in WebView | Critical | 車載組み込みUIとの実務上の相性が最も高い代表例。埋め込みWebコンポーネントの有無確認が必要。 |
| CVE-2026-9894 | Use after free in GPU | High | Critical 群に続く GPU 系の高深刻度。GPU 系統に問題が集中している点自体が重要。 |
推奨対応
短期対応として、まずは社内保有資産のどこで Chromium 系ブラウザ、埋め込み WebView、Electron 系ラッパー、テスト端末ブラウザが使われているかを棚卸しし、Windows/macOS/Linux の Chrome バージョンを 148.0.7778.216/217 系以降へ統一することが優先です。車両実機、HIL/SIL ベンチ、整備端末、デモ車、営業展示端末を切り分け、インターネット到達性があるものから先に更新します。
中期対応として、HMI/IVI/Companion UI で WebView 相当を使う箇所の SBOM / コンポーネント台帳反映、およびブラウザコンテンツの許可ドメイン、ローカルファイル読み込み、デバッグ機能有効化、外部リンク遷移の設定点検を推奨します。
長期対応として、車載ソフト/周辺ツールともに、ブラウザ・レンダラ更新を月次固定イベントではなく PSIRT 駆動の高頻度更新に切り替え、WebView 利用箇所をコンポーネント単位で追跡できる台帳を維持することを推奨します。
監視タイムライン
一次情報URL一覧
- Chrome Releases 公式更新: Stable Channel Update for Desktop
- SafeDep Megalodon レポート（URLは特定済みだが、本文取得失敗のため本文採用から除外）
- NVIDIA GPU Display Drivers May 2026 Bulletin（一次情報取得済みだが、更新日が 2026/05/21 で対象期間外のため除外）
採否ログ
| 候補 | 期間適合 | 一次情報入手性 | 採否 | 理由 |
|---|---|---|---|---|
| Chrome Stable Channel Update for Desktop | 適合。2026/05/27 公開。 | 取得済み。公式ページ直接確認。 | 採用 | 期間内・一次情報取得済み・自動車表示系への条件付き影響評価が可能。 |
| PAN-OS CVE-2026-0257 KEV追加・後続パッチ展開 | 二次報道上は 2026/05/29 が重要更新。 | この実行環境では一次情報URLを直接取得できず。 | 不採用 | 実務上は高優先監視対象だが、今回の厳格採用条件には未達。 |
| CISA による Nx Console / Megalodon 警告 | 二次報道上は 2026/05/29 公開。 | この実行環境では一次情報URLを直接取得できず。 | 不採用 | CI/CD・クラウド資格情報観点では重要だが、本文採用の証拠基準に届かず。 |
| SafeDep Megalodon レポート | URL は識別できたが、対象期間内確証なし。 | URL特定のみ、本文取得失敗。 | 不採用 | 日付確証不足。厳格な期間判定のため除外。 |
| NVIDIA GPU Display Drivers - May 2026 | 不適合。2026/05/21 更新。 | 取得済み。 | 不採用 | 重要だが対象期間外。 |
| Firefox 151 | 不適合。2026/05/19 公開。 | 参考情報のみ。 | 不採用 | 期間外。 |
制約事項
今回の調査では、Chrome の公式更新ページは直接取得できた一方、CISA KEV / CISA 警告 / Palo Alto の該当一次情報URLは、この実行環境の検索結果からは直接たどれませんでした。そのため、対象期間内に強い実務シグナルを持つ候補が存在しても、本文採用は一次情報取得済みのものに限定しました。
未解決の論点は、PAN-OS CVE-2026-0257 の KEV 追加当日の一次情報本文、CISA の Nx Console / Megalodon 警告の一次情報URL、SafeDep Megalodon レポートの正確な公開日時です。これらは、ユーザー提供URLがあれば同フォーマットで再作成可能な残課題です。
付録データ
CSV形式の脆弱性サマリです。Chrome系資産の棚卸し起点として使えます。
採否,公開日,製品/テーマ,代表CVE,技術深刻度,対応優先度,推奨アクション
採用,2026/05/27,Google Chrome Stable Channel Update for Desktop,"CVE-2026-9872; CVE-2026-9873; CVE-2026-9874; CVE-2026-9875; CVE-2026-9876; CVE-2026-9888; CVE-2026-9894 ほか",Critical〜High,P2,Chrome 148.0.7778.216/217 系以降へ更新し Chromium/WebView 採用箇所を棚卸し
不採用,2026/05/29頃,PAN-OS CVE-2026-0257 KEV追加・後続パッチ展開,未採用,一次情報未取得,監視対象,一次情報URLを取得でき次第再評価
不採用,2026/05/29頃,CISA Nx Console / Megalodon 警告,未採用,一次情報未取得,監視対象,CI/CD・クラウド資格情報観点で監視継続
不採用,日付確証不足,SafeDep Megalodon レポート,未採用,本文取得失敗,監視対象,正確な公開日時と本文取得後に再評価
不採用,2026/05/21,NVIDIA GPU Display Drivers May 2026 Bulletin,未採用,対象期間外,参考,重要だが今回週報の採用条件外
不採用,2026/05/19,Firefox 151,未採用,対象期間外,参考,期間外のため除外今週のPSIRT優先度整理を、そのまま社内説明に使える形へ
Auto PSIRT Cloudでは、SBOMや脆弱性情報をもとに、車載製品・開発基盤・工場OT・境界機器への影響を切り分け、OEM説明や監査証跡に使える形で整理できます。