Google ChromeにCVE-2026-118305——Turbolevのメモリ破損、更新を

CVE-2026-118305とは――ChromeのTurbolevに発見されたメモリ破損脆弱性

2026年10月27日、Google Chromeに関するセキュリティ脆弱性CVE-2026-118305がCVE公式記録（cve.org）に公開された（最終更新：2026年10月28日）。採番元のCNA（CVE Numbering Authority）はChromeである。内容はChromeのTurbolevにおけるメモリ破損（CWE-119）だ。

影響を受けるのはバージョン156.0.8078.73より前のGoogle Chromeである。攻撃者が作成したHTMLページを介して、サンドボックス外で任意のコードを実行できる可能性がある。リモートの攻撃者による悪用が想定される。CISA-ADPによるCVSS 3.1スコアは9.6（Critical）、ベクターはCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hである。ChromiumプロジェクトとしてのSeverity評価は「High」と位置づけられている。

2026年11月1日時点のEPSS（悪用可能性の統計的推定値）は0.369%（パーセンタイル約0.31）であり、これは確率の推定にとどまる。CISA KEVへの掲載は確認されていない。

関連記事AI開発ツールのEMBRACE、VS Codeは未修正？ ／ Brotli脆弱性、悪用は確認済み？更新は？

CVE-2026-118305のCVSSスコアの構造を読む

CVSSスコア9.6の構成要素を確認する。

表：CVE-2026-118305のCVSS 3.1スコア構成（評価者：CISA-ADP）

評価項目	値	企業運用上の意味
攻撃経路（AV）	ネットワーク（N）	物理アクセス不要。インターネット上のページにアクセスするだけで成立しうる
攻撃複雑度（AC）	低（L）	競合状態の悪用や特殊な環境設定が不要。再現性が高い傾向がある
必要権限（PR）	不要（N）	攻撃者に対象システムの事前アクセス権限が不要
ユーザー関与（UI）	要（R）	「ページを閲覧する」だけで足りる。フィッシングリンクやマルバタイジングが経路となりうる
スコープ（S）	変更あり（C）	Chromeサンドボックスの外へ影響が及びうる。単なるブラウザクラッシュではない
機密性（C）／完全性（I）／可用性（A）	すべて高（H）	機密性・完全性・可用性のいずれも「高（H）」と評価されている

CVSSのスコープ（S）は「変更あり」と評価されており、CVSSベクターの構成要素としてサンドボックス外での影響が示されている。

CVE-2026-118305への対応

CVE-2026-118305に関して現時点で確認できる対応は以下の通りだ。

修正版への更新。影響を受けるのはバージョン156.0.8078.73より前のGoogle Chromeである。該当する場合は、Googleの告知の修正版へ更新する。配布パッケージを通じてChromeを管理している環境では、そのベンダーの告知の修正版で判断する。

公式の回避策は記載なし。CVE公式記録・Chromiumのセキュリティ告知・CISA KEVのいずれにも、バージョン更新以外の公式回避策は現時点で記載がない。修正版への更新が現実的な唯一の対処手段となる。

CISA KEV掲載状況。2026年11月1日時点でCVE-2026-118305はCISA KEVに掲載されていない。KEV非掲載は「悪用されていない」ことの証明ではなく、「公的機関によって悪用が観測・記録されていない状態」を指す。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

〈参考文献〉
・CVE-2026-118305 CVE公式記録（cve.org） — https://www.cve.org/CVERecord?id=CVE-2026-118305（2026年10月28日最終更新）
・CVE-2026-118305 NVD詳細（nvd.nist.gov） — https://nvd.nist.gov/vuln/detail/CVE-2026-118305