Opera GXブラウザに悪性CSS注入の脆弱性、ゼロクリック攻撃の恐れ

GX Mods機能を悪用、CSSインジェクションによる情報漏えいリスクが判明

Opera GXブラウザのGX Mods機能において、悪意のあるCSSを任意のWebページへ注入できる脆弱性が確認された。この問題はzhero_web_securityによって2026年に報告されたもので、悪用された場合にはクロスサイトデータ漏えい（XS-Leaks）やゼロクリック攻撃につながる恐れがある。

GX Modsはブラウザのテーマやデザインをカスタマイズする機能だが、この仕組みを悪用すると、細工されたWebページを閲覧しただけで悪意のあるModが自動的にインストールされる可能性がある。ユーザーの操作を必要としないため、ゼロクリック攻撃へ発展するリスクが指摘されている。

さらに、攻撃者は条件付きリソースリクエストを利用して機密情報を推測・取得できる可能性がある。研究者は、CSSセレクタを利用してGmailアドレスの一部を推測する攻撃シナリオを実証しており、大量の文字列パターンを組み合わせることでメールアドレスを特定できることを示した。

この影響はOpera GXだけでなく、通常版のOperaブラウザにも及ぶ可能性がある。シークレットモードで**.crx**ファイルをダウンロードした際にブラウザがクラッシュし、セッションデータが失われる恐れも確認されている。今回の事例は、拡張機能のインストール機構やスタイリング機能が攻撃に悪用され得ることを示しており、利用者には最新バージョンへの更新と不審なModのインストール回避など、適切なセキュリティ対策が求められる。