Android版ChromeにCVE-2026-118309——CVSS9.6、修正版へ更新を

CVE-2026-118309とは何か――CVSS9.6が示す深刻度

2026年10月27日、Googleが開発するChromiumプロジェクトに対し、CVE-2026-118309として識別される脆弱性が公式に登録された（最終更新：2026年10月28日）。

CVSS 3.1スコアは9.6（CRITICAL）とCISA-ADPが評価している。このスコアが意味するのは、攻撃者の特別な権限を必要とせず（PR:N）、ネットワーク越しに（AV:N）、機密性・完全性・可用性のすべてに高い影響（C:H/I:H/A:H）を与えうる、という組み合わせだ。CVSSの評価ベクター全体はCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hである。

弱点の分類はCWE-20「Improper Input Validation（不適切な入力検証）」。UIコンポーネントにおける入力処理の欠陥であり、特別に細工されたHTMLページを開くだけで悪意ある処理が走りうる構造を持つ。

なお、2026年11月1日時点でのEPSS（悪用される確率の統計的推定）は0.31%（パーセンタイル：約0.24）と報告されている（FIRSTによるEPSSの推定値であり、悪用を断定するものではない）。CISAの既知悪用脆弱性カタログ（KEV）への掲載は現時点でない。実際の悪用報告は公式に確認されていない。

関連記事ChromeのPaintのメモリ破損、更新は？ ／ Windows版ChromeのViews脆弱性、更新は？

Chrome 脆弱性 CVE-2026-118309の影響を受けるバージョンと修正版

CVE公式記録（cve.org）に基づき、影響を受けるバージョンの範囲は以下のとおりだ。

CVE-2026-118309 影響バージョンと対応状況

製品・プラットフォーム	影響を受けるバージョン	修正バージョン	備考
Google Chrome（Android版）	156.0.8078.73 未満	156.0.8078.73 以降	CVE公式記録に基づく
その他プラットフォーム（iOS / デスクトップ）	CVE記録に記載なし	—	現時点で確認された対象はAndroid版のみ
Chromiumベースのサードパーティブラウザ	各ベンダーの告知を参照	各ベンダーの告知を参照	上流の版番号と配布パッケージの版番号は別個で判断すること

現時点のCVE記録が指すのはAndroid版Chromeであり、iOS版やWindows / macOS / Linux版のデスクトップChromiumについては、この記録の対象として明示されていない。ただし、Chromiumは多くのブラウザの上流であるため、Chromiumベースの各ブラウザ（Microsoft Edge、Brave、Vivaldiなど）については、それぞれのベンダーが発行する告知を個別に確認することが必要だ。上流Chromiumの修正バージョンを根拠に配布パッケージの安全性を判断することは推奨されない。

今やること――Chrome 脆弱性 CVE-2026-118309への対応

影響を受ける版のGoogle Chrome（Android版）を使用している場合は、ベンダーの告知による修正版（156.0.8078.73以降）へ更新する。配布パッケージの版は、そのベンダーの告知の修正版で判断する。

CVE公式記録の時点では、ベンダーが明示した公式の回避策は記載がない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

CVE-2026-118309は、Android版Chromeを対象とするCVSS9.6の重大脆弱性だ。修正版（156.0.8078.73）は既にリリースされており、ベンダーの告知に従って更新することが対応の中心となる。

参考文献

• CVE Program — CVE-2026-118309 公式記録（cve.org）: https://www.cve.org/CVERecord?id=CVE-2026-118309
• NIST NVD — CVE-2026-118309: https://nvd.nist.gov/vuln/detail/CVE-2026-118309