Google ChromeにCVE-2026-118306——FileSystemの脆弱性、更新を

CVE-2026-118306とは——Google ChromeのFileSystemに潜むメモリ破損の正体

2026年10月27日、Google Chromeに重大な脆弱性が公開された。CVE識別子はCVE-2026-118306、弱点の種類はCWE-119（Memory corruption：メモリ破損）で、ブラウザ内のFileSystemコンポーネントに存在する（出典：CVE.org、NVD）。

影響を受けるのは156.0.8078.73より前のすべてのバージョンのGoogle Chrome。攻撃者が細工したHTMLページをユーザーに開かせるだけで、Chromeが設けているサンドボックス——プロセス分離による安全境界——の外側で任意のコードを実行できる可能性がある。リモートの攻撃者による悪用が技術的に成立しうる構造であり、Chromiumのセキュリティ重大度は「Critical」に分類されている。修正版は156.0.8078.73として既に公開済みだ。

この脆弱性を悪用する攻撃をAIでどこまで作れるかは、公開AIモデルによるChrome攻撃チェーンで解説しています。

関連記事ゼロクリックスパイウェアへのAI対策は？

Chrome脆弱性CVE-2026-118306のCVSSスコア9.6——数値が示すリスク構造の読み方

CVSSスコア9.6という数値は単独では意味をなさない。重要なのはその内訳だ。CISA-ADPによる評価ベクトルCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hを分解すると、この脆弱性の構造的な特徴が見えてくる。

攻撃経路（AV）は「ネットワーク」、攻撃複雑度（AC）は「低」、必要な権限（PR）は「なし」——これは攻撃を仕掛ける側の障壁がほぼ存在しないことを意味する。スコープ（S）が「Changed（変更あり）」である点がとりわけ重要で、これはサンドボックスを超えた影響範囲の拡大を示す指標だ。機密性（C）・完全性（I）・可用性（A）はいずれも「High」と評価されている。

唯一の条件はユーザーインタラクション（UI）の「Required（必要）」だ。ユーザーが細工されたページを開く操作が起点となる。

EPSS（Exploit Prediction Scoring System）は2026年11月1日時点で約0.37%（パーセンタイル約0.31）を記録している。これは統計的な推定値であり、将来の悪用確率を保証するものではない。また2026年11月2日時点でCISA KEV（既知の悪用された脆弱性カタログ）への掲載は確認されていない。

CVE-2026-118306 主要情報まとめ（出典：CVE.org / NVD）

項目	内容
CVE識別子	CVE-2026-118306
対象製品	Google Chrome（156.0.8078.73未満）
脆弱性の種類	メモリ破損（CWE-119）／FileSystemコンポーネント
攻撃の起点	細工されたHTMLページをユーザーが開く（UI:Required）
想定される影響	サンドボックス外での任意コード実行の可能性
CVSS 3.1スコア	9.6（Critical）— 評価者：CISA-ADP
攻撃複雑度	低（AC:L）／必要権限：なし（PR:N）
スコープ変更	あり（S:C）— サンドボックス超えの影響を示す
EPSS（2026-11-01時点）	約0.37%（パーセンタイル約0.31）※統計的推定値
CISA KEV掲載	なし（2026年11月2日時点）
CVE公開日	2026年10月27日（最終更新：2026年10月28日）
修正版	156.0.8078.73

Chrome脆弱性CVE-2026-118306——今とるべき対応

影響を受ける版のGoogle Chromeを使用している場合は、修正版である156.0.8078.73へ更新する。

公式の回避策については、2026年11月2日時点でベンダー告知に明示された回避策は確認されていない。修正版への更新が現時点で唯一確実な対処だ。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE.org — CVE-2026-118306：https://www.cve.org/CVERecord?id=CVE-2026-118306
• NVD（National Vulnerability Database）— CVE-2026-118306：https://nvd.nist.gov/vuln/detail/CVE-2026-118306