Chrome、メジャー更新を2週間ごとに

Chromeはメジャーリリースの間隔を半分にします。Googleは移行を進めていると述べています。メジャーマイルストーンを4週間ごとから2週間ごとにするもので、2026年9月8日のChrome 153から始まります。理由として挙げているのは、機械学習がセキュリティバグを見つける速さに、4週間の列車が追いつけないことです。

この判断は二つの数字で説明できます。Chrome 149と150では、合わせて1,072件のセキュリティバグを修正しました。これは、それ以前の23回のマイルストーンの合計を上回ります。

何が変わり、何は変わらないのか

2週間という数字が当てはまるのはメジャーマイルストーンです。これは新機能を運ぶ番号付きのリリースを指します。セキュリティパッチの間隔ではありません。この区別は見落としやすいところです。

対象	間隔
メジャーマイルストーン	2週間ごと（Chrome 153から）
セキュリティ更新	毎週
セキュリティ更新（試験運用）	週2回

「当社はメジャーなChromeマイルストーンを2週間の間隔へ移行する作業を進めており、セキュリティ更新は毎週行う」と、GoogleのChromeセキュリティチームは書いています。これとは別に、セキュリティリリースを週2回にする試験運用も進めています。

対象はデスクトップ、iOS、Androidです。TechCrunchの報道によれば、Mozilla、Microsoft Edge、Braveはすでに同じ2週間の間隔を採用しています。

バグ件数が跳ね上がった理由

セキュリティチームは原因をはっきり書いています。大規模言語モデルはチャットボットを支えるソフトウェアであり、ソースコードに向けて欠陥を探させることができます。

「大規模言語モデル（LLM）は、脆弱性の自動発見にこれまでにない能力をもたらしている」とチームは書いています。人間のセキュリティ専門知識の限界を大きく超えて規模を広げるものであり、攻撃者の先を行くには新しい手法が必要になる、とも述べています。

これは両方向に働きます。そこが考えるべき点です。同じ道具は攻撃者の役にも立ちます。Googleが掲げる目標はN-dayの隙間を縮めることです。公開されたコードベースに修正が入ってから、利用者に届くまでの時間を指します。Chromiumはオープンソースなので、公開された修正はすべて、その修正が直すバグの説明にもなります。

Googleによれば、2026年5月だけで、自動化された仕組みが20件を超える脆弱性を本番に到達する前に止めました。そのうち1件は、最も深刻な区分であるS1+と評価されています。

開発者にとっての意味

前提としているテスト方法を見直す必要があります。リリース工程でChromeのバージョンを固定している場合や、ブラウザの組み合わせを検証している場合、その対象は2倍の頻度で動きます。四半期ごとに「最新のChrome」で確認する作業は、8月までと同じ意味を持ちません。

2週間ごとに再検証できないものについては、GoogleはChrome Extended Stable Channelを挙げています。企業や機密性の高い環境に推奨しているものです。このチャンネルは機能の新しさを手放す代わりに、遅く予測しやすい周期を得ます。規制のある環境では、これが妥当な既定値です。

未解決なのは非推奨の期限です。機能の削除やオリジントライアルが、これまでのマイルストーン数を保つのかは、どちらの情報源も述べていません。日付ではなくマイルストーン数で予定されていた非推奨は、暦の上での期日が近づいたことになります。すでに削除予定と示されていて依存しているものは確認してください。拡張機能の開発者には、今月すでに一つ厳しい期日がありました。Googleが9月1日にChrome ウェブストアからManifest V2の拡張機能をすべて削除したときのことです。

1,072という数字を、Chromeが安全でなくなった証拠と読まないでください。大きなコードベースに自動発見を向ければ起こることであり、バグを見つけるのは直す前の段階です。見るべき数字は、修正が利用者にどれだけ早く届くかであって、数えられたバグの件数ではありません。

ウェブプラットフォーム全体への影響はこうです。機能はより小さな単位で、より頻繁に安定版へ入ります。継続的にテストしているチームには有利で、長い手作業のQA工程には不利に働きます。Googleは競争圧力にもさらされています。AIを使った開発によって、ブラウザそのものを作る費用が下がったと同社は述べています。