Google ChromeにCVE-2026-119263——CVSS9.6、修正版へ更新を

CVE-2026-119263とは——Google Chromeで確認されたメモリ破損の脆弱性

2026年10月30日、Google Chromeに関するCVE-2026-119263がCVE公式に公開された（最終更新2026年10月31日、採番元CNA: Chrome）。脆弱性の実体は、Chromeのガベージコレクション（GarbageCollection）内で発生するメモリ破損（CWE-119）だ。リモートの攻撃者が細工したHTMLページを介してサンドボックス外で任意のコードを実行できる可能性があるとされる（出典: CVE公式記録 — cve.org）。

CVSS 3.1スコアはCISA-ADPによる評価で9.6（CRITICAL）、ベクトルはAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hである。このベクトルが意味するのは、ネットワーク越しに認証なしで攻撃が成立しうること、ただし攻撃成立にはユーザーの操作——具体的には細工されたページの閲覧——が前提になるということだ。Chromiumプロジェクトとしての深刻度評価は「High」とされている。

2026年11月1日時点のEPSS（悪用確率の統計的推定値）は約0.27%（パーセンタイル約0.19）であり、CISA KEV（実際に悪用が確認された脆弱性カタログ）への掲載もない。悪用の報告は現時点では確認されていない。

関連記事AIセキュリティ対策で企業が今すぐできることは？ ／ AIによる情報漏洩の原因と2つの経路は？

Chrome脆弱性CVE-2026-119263が企業の運用担当者に問いかけること

CVSS9.6という数値は脆弱性の仕様上の深刻度を示す指標であり、それ自体が「今すぐ侵害されるリスク」を意味するわけではない。実際のリスクは、攻撃が成立するための条件と、現時点での悪用状況の両面から読む必要がある。

今回の攻撃ベクトルを具体的に見ると、攻撃者はユーザーを何らかの手段で悪意あるページへ誘導する必要がある。2026年11月1日時点でCISA KEV未掲載であり、悪用の報告は確認されていない。EPSSの推定値約0.27%（パーセンタイル約0.19）はあくまで統計的な推定であり、悪用の有無を断定するものではない。

なお、CVE-2026-119263とAIとの関係は確認されていない。AIが発見した脆弱性でも、AI製品の欠陥でも、AIを活用した攻撃でもない。

影響を受けるバージョンと今やること——3点の対応方針

CVE公式記録によれば、影響を受けるバージョンはGoogle Chrome 156.0.8078.79未満だ。

CVE-2026-119263 影響範囲と対応方針の概要

項目	内容
CVE番号	CVE-2026-119263
対象製品	Google Chrome
影響バージョン	156.0.8078.79 未満
脆弱性の種類	メモリ破損（CWE-119）/ GarbageCollection内
CVSSスコア	9.6（CRITICAL）CISA-ADP評価 / CVSS 3.1
攻撃成立の条件	ネットワーク経由・認証不要・ユーザー操作必要
CISA KEV掲載	掲載なし（2026年11月1日時点）
悪用の報告	確認されていない
公式の回避策	CVE記録に記載なし
基本対応	Googleの告知に基づく修正版（156.0.8078.79以降）への更新

現時点でCVE公式記録に公式の回避策は記載されていない。対応の基本方針は以下の3点だ。

1. 156.0.8078.79未満のChromeを使用している場合は、Googleの告知に基づく修正版へ更新する。
2. 配布パッケージとしてChromeを管理している場合は、各ベンダーの告知の修正版で判断する。上流のバージョン番号と配布パッケージの版番号を単純に比較しない。
3. 直ちに修正版を適用できない場合、公式の回避策はCVE記録に現時点では示されていない。その場合はGoogleの公式セキュリティアドバイザリを継続して確認し、告知の指示に従う。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

GarbageCollectionのメモリ破損——ブラウザセキュリティの構造的な難所

今回の脆弱性の発生箇所である「GarbageCollection」は、不要になったメモリを自動的に解放するChromeの内部処理機構だ。

（本記事の数値・日付はすべて2026年11月1〜2日時点の公開情報に基づく。CVSSスコアおよびKEV掲載状況は更新される場合があるため、最新情報はCVE公式記録を参照されたい。）

参考文献

• CVE公式記録 — CVE-2026-119263: https://www.cve.org/CVERecord?id=CVE-2026-119263
• NVD（米国国立脆弱性データベース）— CVE-2026-119263: https://nvd.nist.gov/vuln/detail/CVE-2026-119263