Google ChromeにCVE-2026-118355——入力検証の不備、更新を

CVE-2026-118355 とは何か——脆弱性の概要

2026年10月27日、Google Chromeに重大な脆弱性 CVE-2026-118355 が公開された（CVE最終更新：2026年10月28日、採番元CNA：Chrome）。弱点の種類はCWE-20「Improper input validation（不適切な入力検証）」であり、ChromeのCommandコンポーネントに起因する。

CISA-ADPによるCVSS 3.1スコアは 9.6（CRITICAL） と評価されている（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H）。Chromiumセキュリティとしての深刻度は「High」とされている。このCVSSベクターが意味することを分解すると、攻撃はネットワーク経由かつ攻撃の複雑さが低く、攻撃者に権限は不要で、ユーザーの操作（悪意あるページの閲覧）のみを必要とする。

攻撃者が細工したHTMLページをユーザーに閲覧させることで、Chromeのサンドボックス外で任意のコードを実行できる可能性があると、CVE公式記録（cve.org）は説明する。リモートの攻撃者による悪用が想定されている。

2026年11月1日時点のEPSS（悪用される確率の統計的推定）は約0.295%（パーセンタイル：約0.22）と算出されている。EPSSはあくまで推定値であり、実際に悪用されることを意味するものではない。CISA KEV（Known Exploited Vulnerabilities Catalog）への掲載は確認されていない。

関連記事ChromeのPaintメモリ破損は？ ／ ChromeのTurbolevメモリ破損は？

影響を受けるバージョンと修正版の確認

CVE公式記録（cve.org）に基づき、影響を受けるバージョンの範囲は以下のとおり確認されている。

表：CVE-2026-118355 影響バージョンと対応状況（CVE公式記録より。2026年10月28日最終更新）

製品	影響バージョン	修正版の確認方法	公式回避策
Google Chrome	156.0.8078.73 未満	Googleの公式セキュリティ告知で確認	CVE記録に記載なし
Chromiumベースブラウザ（Edge、Opera、Brave等）	各ブラウザのベンダー告知を参照	各ベンダーの公式セキュリティ告知で確認	各ベンダー告知を参照
Linuxディストリビューション向けChromiumパッケージ	各ディストリビューションのセキュリティ告知を参照	配布元の告知で判断（上流版番号と直接比較不可）	配布元告知を参照

Microsoft EdgeやOpera、Brave等、Chromiumを基盤とする他のブラウザについては、それぞれのベンダーが提供する公式告知を確認する必要がある。

Linuxディストリビューション等のパッケージとして配布されるChromiumについても同様で、配布元ベンダーが提供する版番号を基準に判断する。

Chrome 脆弱性 CVE-2026-118355 に対して今取るべき行動

1. 修正版への更新。Google Chrome 156.0.8078.73 未満を使用している環境は、Googleが提供する修正版へ更新する。

2. 公式回避策の確認。CVE公式記録の時点では、Googleから公式の回避策は示されていない。更新適用が遅れる場合はGoogleの公式セキュリティ告知を継続的に確認し、新たな情報が出次第対応する。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献

• CVE Record: CVE-2026-118355 — https://www.cve.org/CVERecord?id=CVE-2026-118355
• NVD（National Vulnerability Database）: CVE-2026-118355 — https://nvd.nist.gov/vuln/detail/CVE-2026-118355