Google ChromeにCVE-2026-118332——CVSS9.6、修正版へ更新を

Chrome 脆弱性 CVE-2026-118332 の概要——何が、どの版で起きているか

2026年10月27日、GoogleはCVE-2026-118332として採番された脆弱性を公開した（最終更新：2026年10月28日、出典：cve.org）。対象はGoogle Chrome 156.0.8078.73より前のすべてのバージョンで、欠陥の分類はCWE-20「不適切な入力検証（Improper input validation）」、発生箇所はレンダリングエンジンの描画合成層であるCompositingだ。

CVSSスコアは3.1基準で9.6（CRITICAL）。評価ベクターはCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H（評価者：CISA-ADP）で、機密性・完全性・可用性のいずれも「高」と評価されている。Chromiumプロジェクト内での深刻度区分は「High」とされている。

この脆弱性を悪用された場合、遠隔の攻撃者が細工したHTMLページを閲覧させることで、Chromeのサンドボックス外で任意のコードを実行できる可能性がある。2026年11月1日時点のEPSS（悪用可能性の統計的推定値）は約0.295%（パーセンタイル約0.22）で、現時点で能動的な悪用は報告されておらず、CISAのKEV（既知の悪用済み脆弱性カタログ）にも未掲載だ。ただしEPSSはあくまで統計的な推定であり、今後状況が変わる可能性を排除しない。

関連記事テキストマイニングとは？意味とできること ／ VOICEVOX 使い方｜インストールから音声生成まで【2026】

CVE-2026-118332が意味するもの——Compositingの欠陥がなぜ重大か

Compositingとは、複数の描画レイヤーを合成して最終的な画面を生成する処理層を指す。CVE-2026-118332は、この層における入力検証の不備により、遠隔の攻撃者が細工したHTMLページを介してサンドボックス外で任意のコードを実行できる可能性がある脆弱性である。

CVSSスコア9.6は、CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H（評価者：CISA-ADP）というベクターに基づく評価である。

一方で、現時点において悪用は確認されていない。EPSSの約0.295%（2026年11月1日時点）は統計的な推定値であり、PoC公開や攻撃キャンペーンの観測によって今後スコアが変動する可能性がある。KEV未掲載は「攻撃が発生しない」ことを意味せず、「政府機関が悪用を公式確認していない」という状態を示すに過ぎない点は明確にしておく必要がある。

Chrome 脆弱性 CVE-2026-118332 に対して今すること

対処の方針は二点に絞られる。

修正版（156.0.8078.73以降）への更新。Google Chrome 156.0.8078.73より前のバージョンを使用している端末については、速やかにアップデートを適用する。

公式の回避策はない。CVEの公式記録（cve.org）には修正版以外の公式回避策は記載されていない。「修正版への更新以外に、ベンダーが示した回避策はない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

CVEスコア・影響項目の早見表

項目	内容	備考
CVE ID	CVE-2026-118332	採番元CNA：Chrome
対象製品	Google Chrome 156.0.8078.73 未満	—
CVSS 3.1 スコア	9.6（CRITICAL）	評価者：CISA-ADP
攻撃元区分	ネットワーク（AV:N）	遠隔から攻撃可能
攻撃複雑度	低（AC:L）	—
特権要件	不要（PR:N）	—
ユーザー操作	必要（UI:R）	細工済みページの閲覧
スコープ	変更あり（S:C）	サンドボックス外への越境
弱点の種類	CWE-20 入力検証不備	Compositing層
CISA KEV 掲載	なし（2026年11月2日時点）	能動的悪用は確認されていない
EPSS	約0.295%（パーセンタイル約0.22）	2026年11月1日時点・統計的推定値
公式回避策	なし	修正版への更新のみ
CVE公開日	2026年10月27日	最終更新：2026年10月28日

CVE-2026-118332の限界と注意点——スコアと実リスクのずれを理解する

修正版への更新は有効な対処だが、それだけで完全な防御が保証されるわけではない。いくつかの留意点を整理しておく。

EPSSは過去の類似CVEの悪用率を統計的にモデル化した推定値であり、このCVE固有のリスクを直接測定した値ではない。PoC公開や攻撃キャンペーンの観測によってスコアは変動するため、公開直後の値を固定的に対応判断の根拠にするのは適切でない。

KEV未掲載は「攻撃が発生しない」ことを意味しない。KEVへの掲載は「政府機関が悪用を確認した事実」を示すものであり、民間セクターへの攻撃や観測されていない悪用活動は反映されない。

CVSS 9.6は深刻度の高さを示す標準的な指標であり、実際の悪用状況とは別の評価軸である点に留意が必要だ。

---

参考文献

• CVE-2026-118332 — CVE Program公式記録（cve.org）
  https://www.cve.org/CVERecord?id=CVE-2026-118332
• CVE-2026-118332 — NVD（米国国立脆弱性データベース）
  https://nvd.nist.gov/vuln/detail/CVE-2026-118332