Google ChromeにCVE-2026-118308——SVG処理の脆弱性、更新を

Chrome 脆弱性 CVE-2026-118308 とは何か

2026年10月27日、Google ChromeにCVE-2026-118308として識別された深刻な脆弱性が公開された（最終更新：2026年10月28日）。脆弱性の種別はCWE-416「Use after free（解放済みメモリ使用）」であり、ChromeのSVG処理コンポーネントに存在する（出典：CVE Program / cve.org）。

Use after free とは、プログラムがいちど解放したメモリ領域をその後も参照・操作してしまう実装上の欠陥を指す。CVE-2026-118308 では、攻撃者が細工したHTMLページをChromeで開かせることで、サンドボックス外での任意コード実行が可能になると説明されている（出典：NVD / NIST）。

影響を受けるバージョンは Google Chrome 156.0.8078.73 未満である。Chromiumプロジェクトとしての深刻度は「High」と分類されており、CISA-ADPによるCVSS 3.1スコアは 9.6（CRITICAL） と評価されている（ベクター：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H）。2026年11月2日時点（2026年11月2日）においてCISAのKEV（既知の悪用脆弱性カタログ）への掲載はなく、悪用が確認されているとは言えない段階である。

関連記事Google ChromeのPaintのメモリ破損は？ ／ Windows版ChromeのViewsの脆弱性は？

CVE-2026-118308 のCVSS 9.6が示す危険性の構造

CVSS 9.6というスコアは10点満点中の最高域に位置する。各指標が何を意味するかを整理すると、この脆弱性の危険性の構造が明確になる。

スコープ変化（S:C）の評価が付いていることが、スコアを9点台に押し上げた主因とみられる。Chromeはレンダラープロセスをサンドボックス内に封じ込めることで被害を限定する設計をとっているが、この評価はその防御線を超えた影響が及びうることを示している。

ユーザ操作（UI:R）が必須とされている点は、完全に無操作での悪用（ゼロクリック攻撃）とは区別される。攻撃者はユーザに細工したページへのアクセスを促す必要がある。

Chrome 脆弱性 CVE-2026-118308 の悪用リスク現状と判断根拠

FIRST（Forum of Incident Response and Security Teams）が提供するEPSS（Exploit Prediction Scoring System）による2026年11月1日時点の推定値は 0.00307（パーセンタイル：0.236） である。これは悪用される確率の統計的推定であり、確定した事実ではない。

CISA KEV（Known Exploited Vulnerabilities Catalog）への掲載が現時点でないことも確認している（2026年11月2日時点）。KEV掲載は実際の悪用が確認された脆弱性に対してCISAが行うアクションであり、非掲載は「悪用が報告されていない」という状態を示す。ただしEPSSスコアおよびKEV掲載状況はリアルタイムで更新されるため、最新状況はcve.orgおよびcisa.govで確認することが望ましい。

影響バージョンの確認と対応手順

CVE-2026-118308 の公開時点での情報を整理する。

表1：CVE-2026-118308 概要（2026年11月2日時点）

項目	内容
CVE ID	CVE-2026-118308
公開日	2026年10月27日（最終更新：2026年10月28日）
脆弱性の種別	CWE-416 Use after free（解放済みメモリ使用）
影響コンポーネント	SVG処理
影響を受けるバージョン	Google Chrome 156.0.8078.73 未満
CVSSスコア（評価者）	9.6 CRITICAL（CISA-ADP、CVSS 3.1）
EPSS（2026-11-01時点）	0.00307（パーセンタイル 0.236）※統計的推定
CISA KEV掲載	なし（2026年11月2日時点）
公式の回避策	なし（CVE記録に記載なし）
対応	156.0.8078.73 以降への更新

現時点でCVE記録に記載された公式の回避策はない。対応は 156.0.8078.73 以降への更新 が唯一の方法である。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE Program（cve.org）「CVE-2026-118308」https://www.cve.org/CVERecord?id=CVE-2026-118308
• National Vulnerability Database（NVD / NIST）「CVE-2026-118308」https://nvd.nist.gov/vuln/detail/CVE-2026-118308