2026年、最も安全なブラウザは？Chrome、Edge、Opera、Brave、Firefox、Safariを数字で比較 – 3つのエンジンと15件のゼロデイ

デスクトップには6つのブラウザのアイコンが並んでいます。Chrome、Edge、Opera、Brave、Firefox、Safari。まるでスーパーの棚のような品ぞろえです。問題は、中身のエンジンはたった3つしかないということ。そして、リンクを1回クリックしただけで誰かにノートPCを乗っ取られるかどうかを決めるのは、ロゴではなくこのエンジンなんです。💥

今年、Googleはすでに攻撃で実際に悪用されていたChromeの脆弱性を7件修正しています。どれも、誰かがパッチを当てる前に悪用されていたものです。そしてそのすべてが、Edge、Opera、Braveにも存在していました。同じコードだからです。つまり問うべきは「どのブラウザが一番安全か」ではなく、「どのエンジンが、どれだけ速く、誰によって修正されているか」です。2025年と2026年の数字で計算してみました。

3つのエンジン – 「ブラウザ選び」が大部分で幻想である理由

ブラウザエンジンとは、HTMLを読み込み、JavaScriptを実行し、ページを描画する部分です。平たく言えば、見知らぬWebサイトのコードを受け取り、あなたに何も起きないように実行しなければならない部分です。私が知るブラウザへのエクスプロイトは、すべてここを狙っています。

技術に詳しくない読者の方には意外かもしれませんが、エンジンは3つしかありません。それ以外はすべて見た目、プライバシー設定、アドレスバーの違いです。

これは実際に何を意味するのでしょうか。Googleが「CVE-2026-xxxxxのエクスプロイトが出回っている」と発表したとき、同じ穴がインターネット利用者の10人に8人のところにあるということです。Chromeだけではありません。Edgeにも、Operaにも、Braveにも、あなたのお母さんのスマホのSamsung Internetにも、そしてElectronで作られたすべてのデスクトップアプリ（Slack、Teams、Discord、VS Code）にもです。

iPhoneはさらに面白い状況です。「iOS版Chrome」は実はChromeのロゴを付けたWebKitです。Appleは2024年まで他のエンジンを認めておらず、EUでDMAによって変更が強制された後も、結局だれも独自エンジンを出していません。つまり、iPhone＝WebKit、以上です。

教訓その 1：エクスプロイトの観点で「OperaとBrave」を比べるのは、同じ車の2種類の塗装を比べるようなものです。本当の問いは、そのベンダーがChromiumのパッチをどれだけ速くあなたに届けるか、そして独自に何を上乗せしているか、です。

ゼロデイ – 本当に攻撃されているのは何か

ゼロデイとは、ベンダーがパッチを出す前に犯罪者が悪用する脆弱性です。ブラウザにとっては最悪のシナリオです。ページを開いただけで、誰かがあなたのPC上でコードを実行する。「ダウンロード」も「実行」もクリックする必要はありません。

Google Threat Intelligence Groupは年次レポート「Look What You Made Us Patch」で、2025年に悪用されたゼロデイを90件と集計しました（2024年は78件、2023年は過去最多の100件）。ここで重要なニュースがあります。ブラウザはそのうちわずか8件、10%未満で、3年連続の減少傾向です。攻撃者はOS（ゼロデイ39件）、エッジデバイスやアプライアンス（全体の48%、過去最高）に移っています。また初めて、国家のスパイ集団よりも商用スパイウェアベンダー（CSV）によるゼロデイの方が多くなりました。

では、エンジンごとに見ていきましょう。

Chrome：21か月で15件のゼロデイ

2025年に8件、2026年9月9日までに7件。ほぼすべてが同じ場所にあります。V8、つまりJavaScriptエンジン（type confusion、out-of-bounds、use-after-free）、さらにグラフィックス（Skia、ANGLE、Dawn/WebGPU）、そしてサンドボックスからの脱出が2件。大半を発見したのは、スパイウェアベンダーを追跡しているGoogle Threat Analysis Groupです。2025年最初のゼロデイ（CVE-2025-2783）を報告したのはKasperskyで、ロシアのメディアや大学を狙ったスパイ作戦「ForumTroll」で使われました。攻撃はメール内のリンクを1回クリックするだけで始まっていました。

では、Chromeはザルのように穴だらけなのでしょうか。いいえ。Chromeは世界最大の標的であり、同時にこうした攻撃を検知する人が最も多いブラウザだということです。もしFirefoxが市場の79%を握っていたら、同じチームがSpiderMonkeyで同じものを見つけていたでしょう。ただし、Chromiumユーザーであるあなたにとって意味することは一つです。更新のペースは毎週でなければならない。攻撃者は待ってくれないからです。

SafariとWebKit：件数は少ないが「極めて高度」

Appleはいつも同じ決まり文句を使います。「特定の個人を狙った極めて高度な攻撃で悪用された可能性がある」。これはPegasusやGraphiteのような商用スパイウェアを指す符丁です。2025年、こうしたWebKitの修正は3件あり、12月には2件同時でした。しかもCVE-2025-14174は、Googleがその2日前にChromeで修正したのと同じバグでした（共有ライブラリANGLE内）。2026年3月にはエクスプロイトキット「DarkSword」がiVerify、Lookout、Google TIGによって同時に報告され、8月のSafari 26.6.1アップデートではWebKitだけで21件の脆弱性が修正されました。

結論：Safariユーザーが統計に載ることは少ないものの、載るときは国家や雇われスパイの標的としてです。一般企業にとってのリスクは低いですが、弁護士、ジャーナリスト、経営陣にとっては話が別です。だからAppleにはLockdown Mode（ロックダウンモード）があります。安全と引き換えにWebKitの一部機能を無効にするモードです。

Firefox：最も攻撃されにくいが、攻撃されないわけではない

SecurityWeekの集計によると、この10年間でFirefoxで攻撃に悪用された脆弱性は約12件です。2025年3月、MozillaはGoogleの2日後にCVE-2025-2857を修正しました。これはChromeで実際に悪用されていたIPCコードのバグと全く同じパターンのものでした（MozillaはFirefoxへの攻撃を確認していません）。2025年5月のPwn2Own Berlinでは2人の研究者がFirefoxを攻略しました（レンダラー、サンドボックス脱出なし）。Mozillaはその日のうちに修正を公開しています。2026年7月には公開エクスプロイトのあるバグが2件（CVE-2026-15718/15719）出ましたが、実際の攻撃はありませんでした。

ここでは市場シェアの小ささが逆説的に強みになります。同じ予算で79%を狙えるなら、3%の市場向けエクスプロイトに投資する人はいません。例外はTor Browser（Firefoxベース）です。標的が明確なので、エクスプロイトが登場します。

教訓その 2：ゼロデイの件数が測っているのは標的としての魅力と防御側の警戒度であって、コードの品質ではありません。とはいえ、自分のエンジンが標的ナンバーワンであるという事実とは付き合っていくしかありません。そしてこの記事の残りはすべて、そこから導かれます。

CVE：ほぼ誰もが逆に読んでいる数字

フォーラムでは毎年「最も穴だらけのブラウザランキング」が、CVEを数えるという単純な方法で作られます。まずはそれをやってみて、そのうえでなぜこの方法が2026年に完全に死んだのかをお見せします。

Chrome 149と150の2つで、1072件のセキュリティバグが修正されました。これは過去23リリース分の合計より多い数です。2026年4月以降、Googleは1400件以上の修正を出しています。何が起きたのか。Googleは自社のコードにAIエージェント（DeepMindとProject ZeroのBig Sleep、CodeMender）を投入し、あらゆる変更を毎日くまなく調べさせています。その結果、2026年3月までにGoogleが受け取った報告は2025年全体を上回り、4月には簡単なバグに対するバグバウンティの報酬を引き下げ、今では週1回では追いつかないため週2回のセキュリティアップデートをテストしています。

ではCVEを数える派の皆さんに質問です。Chromeは2026年、2025年より6倍危険になったのでしょうか。もちろん違います。6倍徹底的に調べられたのです。CVEの件数が測っているのは探索の強度であって、穴の数ではありません。187件のCVEを持つFirefoxは「Chromeとほぼ同じくらい穴だらけ」なのではなく、誠実で公開された報告プロセスを持っているだけです。そして数十件のCVEしかないSafariが3倍優れているわけでもありません。Appleは単に、口数が少なく、発表が遅いだけです。

その代わり、何年も変わらず、本当に意味のある数字が一つあります。Chromiumの重大なバグの約70%はメモリ安全性のバグ（use-after-free、バッファオーバーフロー）、つまりC++の古典的なミスです。GTIGの集計では、2025年に悪用されたゼロデイ全体の35%がまさにこのカテゴリでした。だから3社とも同じものに投資しています。Firefoxは何年も前からRustを取り込み、ChromeにはMiraclePtr（use-after-freeを単なるクラッシュに変える）とV8 Sandboxがあり、2026年にはPNGデコーダーをRustに移行しました。AppleはiPhone 17でハードウェアによるMemory Integrity Enforcementを導入しています。

教訓その 3：「CVEが一番少ない」を売り文句にブラウザを勧められたら、そのCVEを何人が探しているのか聞いてください。NVDデータベースが静かなのは、バグがないからではなく、監査されていないからであることの方が多いのです。

パッチの速さ – 私なら壁に貼っておく唯一の指標

ゼロデイはベンダーの問題です。しかしパッチが公開された瞬間から、そのバグはNデイになります。つまり世界中が知っているのに、あなたのところではまだ修正されていない穴です。Chromiumはオープンソースです。修正がリポジトリに入った時点で、誰でもそれを逆解析してエクスプロイトを書けます。だからこそ、スピードがすべてなのです。

最も確かなデータは、Project Zeroが2022年に行った分析（2019-2021年の報告）です。報告から修正リリースまで、Chromeは平均30日、Firefoxは38日、WebKitは73日かかっていました。もっと興味深いのはその内訳です。Chromeは約5日でコード上の修正ができていたのに、その後30日のうち大半はリリース待ちでした。Googleはそこから教訓を得て、2023年8月（Chrome 116）からセキュリティアップデートを毎週配信するようになり、「パッチギャップ」は約15日からさらに3.5日短縮されました。2026年には、前述のとおり週2回の配信を試験中です。

ペネトレーションテストの現場ではこんな光景をよく見ます。クライアントのネットワークをスキャンし、User-Agentヘッダーからブラウザのバージョンを拾うと、ほぼ必ず数か月前のブラウザが入った端末が2-3台見つかります。「夏休みから誰も再起動していなかった」というやつです。Chromiumファミリーなら、そういう端末には今年のゼロデイがすべて載っています。そうなると100万ドルのエクスプロイトなんて要りません。誰かがクリックするのを待てばいいだけです。

教訓その 4：企業では「安全なブラウザ」を選ぶのではありません。ポリシー（GPO/Intune/MDM）で全端末に最新バージョンを強制できるブラウザを選ぶのです。ビジネスにとって、それは自動更新ポリシーと強制再起動を組み合わせたChromeかEdge、あるいはFirefox ESRということになります。

セキュリティチームは何人？誰も言わないが、財布は語る

最新の数字を探しましたが、正直に言います。3社のどれも、ブラウザのセキュリティチームの人数を公表していません。最後に公開された数字は古く（Chromeは2013年に約20人のエンジニア、Mozillaは2008年にボランティア込みで約80人と発表）、今では何の意味もありません。その代わり、何かを物語る代替指標が3つあります。研究者にいくら払っているか、誰がバグを見つけているか、そして人に何が起きたか、です。

Operaについて、私がいつもクライアントに言っていることを付け加えます。パッチの遅れは技術的な問題で、日数で測れます。しかし、「VPN」（実際にはプロキシ）を内蔵したブラウザの3分の2を北京の企業が保有しているという事実は、ペンテスターではなくコンプライアンス部門が問うべき問題です。Operaは、オーナーがユーザーデータにアクセスすることはないと主張しています。私にはそれを検証する手段がありません – そして、それがすべての答えです。

教訓その 5：エンジンの安全性は、お金とオープンさで買うものです。Googleは前者を最も多く持ち、Mozillaは後者を最も多く持ち、Appleはお金と沈黙を持っています。Chromiumベースのベンダーはエンジンを持っていません – 持っているのは時計です。

本当にお金が失われる場所：拡張機能とインフォスティーラー

さて、「最も安全なエンジン」を選ぶためにここまで読んでくださった皆さんに冷や水を浴びせます。私の仕事で、ブラウザへのエクスプロイトを見ることはめったにありません。いつも出くわすのは、こちらです。

• インフォスティーラー、つまりブラウザに保存されたパスワード、Cookie、セッションをただ読み取るマルウェアです。Flashpointの集計では、2025年上半期だけで580万台の端末から18億件のログイン情報が盗まれ、2025年全体では1,100万台以上が感染しました。VerizonはDBIR 2025で、ランサムウェア被害者の54%が、事前に自社ドメインをインフォスティーラーのログに載せていたことを示しています。インフォスティーラーにゼロデイは要りません。あなたが「Photoshopのクラック」をインストールしてくれればいいのです。
• 悪意のある拡張機能。2025年7月、Koi SecurityはChromeとEdgeのストアで18個の拡張機能（カラー、VPN、絵文字、「ダークモード」）を発見しました。合計230万回インストールされ、こっそり悪意あるアップデートを受け取っていたものです。その半年前には、拡張機能の開発者を狙ったフィッシングで、約260万人のユーザーが使う数十の拡張機能が侵害されました。ここではエンジンは関係ありません。拡張機能には、あらゆるページを読む正式な権限があるのです。
• フィッシングとClickFix、つまりターミナルに何かを貼り付けさせるページ。人間を攻撃するので、Safari、Chrome、Firefoxのどれでも同じように機能します。

教訓その 6：エンジンの選択が決めるのは、あなたの協力なしに誰かがPCを乗っ取れるかどうかです。あなたの協力ありで乗っ取られるかどうかを決めるのはポリシーです。ブラウザへのパスワード保存の禁止（パスワードマネージャーの利用）、拡張機能のホワイトリスト、そしてCookieから盗めないMFA。

ブラウザセキュリティの7つの法則（2026年版）

1. 選ぶのはブラウザではなく、エンジンと時計。Blink、WebKit、Gecko – そして誰がパッチを届けてくれるか。
2. 1か月前のブラウザは、今年のゼロデイをフルセットで抱えたブラウザ。自動更新と強制再起動はオプションではなく義務です。
3. CVEの件数が測るのは監査であって、穴の多さではない。Chrome 149の429件の修正は良いニュースです。
4. Chromeのゼロデイは、Edge、Opera、Brave、そしてTeamsのゼロデイ。あなたのベンダーがいつ修正を届けたか確認しましょう。
5. スパイウェアの標的になりうるなら、強化モードを使う（SafariのLockdown Mode、ChromeのEnhanced Protection、JITを無効にしたEdge）。ただし、ページの動作が悪くなる可能性は覚悟してください。
6. 拡張機能は、すべてへの権限を持ったコード。企業では、ホワイトリストか、なしか。
7. ブラウザに保存したパスワードはインフォスティーラーへのプレゼント。パスワードマネージャーと、フィッシングに強いMFA（セキュリティキー/パスキー）を。これらはログで持ち出せないからです。

まとめ：私ならどれを選ぶか

どこかのロゴのファンとしてではなく、ペンテスターとして：

• 企業、管理された端末：更新ポリシー付きのChromeまたはEdge – 最もよく調べられたエンジン、最速のパッチ、最も充実した管理ツール。組織内に2つ目のエンジンが欲しいならFirefox ESR。
• プライバシーと「より小さな標的」：Firefox – ただし、一部のプラットフォームではそのサンドボックスがChromiumほど成熟していないこと、MozillaにはGoogleのごく一部の予算しかないことを十分理解したうえで。Chromiumエンジンでトラッキングをブロックしたいなら、Brave。
• Appleのエコシステム：Safari。どのみちiPhoneには他のエンジンがありません。リスクの高い人は、Lockdown Modeを。
• 避けるべきもの：Chromiumのパッチ適用が遅れるブラウザ、サポート終了後のあらゆるもの、そしてMFAなしでパスワードを保存しているすべてのブラウザ。

いちばん大事なこと：1週間もつ「2026年最も安全なブラウザ」ランキングなんて存在しません。あるのはリズムです。エンジン、パッチ、ポリシー、人。あなたの会社でそのリズムがどうなっているか – 端末のブラウザのバージョンから、従業員のログイン情報がすでにインフォスティーラーのログに出回っていないかまで – を確認したいなら、それこそ私がセキュリティテストで調べている内容です。見積もりは計算ツールでご自身で出せます。✔️

出典

• StatCounter Global Stats – Browser Market Share（2026年8月/9月）
• Google Threat Intelligence Group – Look What You Made Us Patch: 2025 Zero-Days in Review
• BleepingComputer – Google patches seventh Chrome zero-day exploited in attacks this year（2026年9月）
• BleepingComputer – Google says AI helped Chrome fix 1,072 security bugs in two releases
• SecurityWeek – Chrome 149 Patches 429 Vulnerabilities
• Project Zero – A walk through Project Zero metrics
• Google Security Blog – An update on Chrome Security Updates (weekly)
• Chromium Projects – Memory safety
• SecurityWeek – Google Paid Out $17 Million in Bug Bounty Rewards in 2025
• Security Affairs – Apple doubles maximum bug bounty to $2M
• The Hacker News – Apple Issues Security Updates After Two WebKit Flaws Found Exploited in the Wild
• TechRepublic – Apple’s 2026 Security Events (DarkSword, Background Security Improvements)
• Mozilla Security Blog – Firefox Security Response to pwn2own 2025
• SecurityWeek – Firefox Affected by Flaw Similar to Chrome Zero-Day Exploited in Russia
• Mozilla – Bug Bounty Hall of Fame
• ZDI – Pwn2Own Berlin 2025: Day Three Results
• ZDI – Pwn2Own Berlin 2026: Day Two Results
• Intego – 2nd Chrome zero-day patched in 5 days（Operaの遅れ）
• Cyber Security News – Microsoft Edge Fixes Actively Exploited Chromium Vulnerability (CVE-2025-6554)
• stack.watch – Chrome、Firefox、Safari – 年別CVE件数（NVD）
• SecurityWeek – Infostealers Turn Millions of Devices Into Credential Theft Machines (Flashpoint)
• BleepingComputer – Malicious Chrome extensions with 1.7M installs found on Web Store (Koi Security)
• Wikipedia – Opera (company) および SEC Schedule 13D/A, Opera Ltd (2026)