Windows版ChromeにCVE-2026-118310——Viewsの脆弱性、更新を

Chrome脆弱性CVE-2026-118310の概要——何が起きているか

2026年10月27日、GoogleのChrome（Chromium）に関する脆弱性情報CVE-2026-118310がCVE公式データベース（cve.org）に登録された。翌28日に最終更新が行われ、現在は公開状態にある。

対象製品はGoogle Chrome（Chromium）で、影響を受けるのはバージョン156.0.8078.73未満。欠陥の種類はCWE-20（Improper input validation：入力値検証の不備）で、Chromeの内部コンポーネント「Views」に存在する。攻撃者が作成したHTMLページを介して、スコープ外のコンポーネントに影響が及ぶ可能性がある。リモートの攻撃者による悪用が可能とされている。

CISA-ADPによるCVSS 3.1スコアは9.6（CRITICAL）で、ベクター文字列はCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hだ。Chromiumのセキュリティ深刻度は「High」。

なお、2026年11月1日時点のEPSS（悪用される可能性の統計的推定値）は0.307%（パーセンタイル約0.24）だ。これは確率の推定であり、現時点でこの脆弱性が実際に悪用されているとは確認されていない。CISAのKEV（Known Exploited Vulnerabilities）カタログへの掲載も、2026年11月2日時点では確認されていない。

Views以外のコンポーネントで見つかった欠陥は、Chrome FileSystemの脆弱性で説明しています。

関連記事Linuxカーネルmlx5eにCVE-2026-99078——CVSS9.8、修正版へ更新を

Chrome脆弱性CVE-2026-118310が意味すること——CVSSスコア9.6の背景

CVSSスコア9.6は「クリティカル」の中でも上位に位置する。CVSSのベクター文字列ではユーザー操作（UI:R）が必要とされている。

サンドボックスはブラウザが悪意あるコードを端末本体から隔離するための防護機構だ。

Viewsは、Chrome UIのレンダリングを担うクロスプラットフォームの抽象層だ。今回の問題はその入力値検証の不備（CWE-20）に起因する。

EPSSは悪用される可能性の統計的な推定値であり、現時点で悪用されていると確定したものではない。

以下の表は、今回の脆弱性に関する主要属性をまとめたものだ。

CVE-2026-118310 主要属性一覧

属性	内容
CVE ID	CVE-2026-118310
公開日	2026年10月27日（最終更新：2026年10月28日）
対象製品	Google Chrome（Chromium）156.0.8078.73未満
欠陥の種類	CWE-20（入力値検証の不備）
対象コンポーネント	Views
CVSS 3.1スコア（CISA-ADP評価）	9.6 CRITICAL
CVSSベクター文字列	AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
攻撃ベクター	ネットワーク経由・低複雑度・権限不要・ユーザー操作1回
Chromium深刻度	High
CISA KEV掲載	なし（2026年11月2日時点）
EPSS（2026年11月1日時点）	0.307%（パーセンタイル約0.24）

今やること——CVE-2026-118310への対応手順

対応は以下の2点に絞られる。

1. 対象バージョンを使用している場合は修正版へ更新する。影響を受けるのはChrome 156.0.8078.73未満だ。Googleの告知に記載された修正バージョンへ更新すること。配布パッケージを利用している場合は、そのベンダー告知の修正版で判断すること。

2. 公式の回避策についてはGoogle公式告知を参照する。修正版への更新が困難な場合は、Google公式のセキュリティ告知を直接確認し、そこに記載された手順に従うこと。公式告知に回避策の記載がない場合は、回避策なしと判断してよい。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献

• CVE.org — CVE-2026-118310: https://www.cve.org/CVERecord?id=CVE-2026-118310
• NVD（National Vulnerability Database）— CVE-2026-118310: https://nvd.nist.gov/vuln/detail/CVE-2026-118310