Google ChromeにCVE-2026-118312——Paintのメモリ破損、更新を

CVE-2026-118312とは——Chrome Paintコンポーネントに潜むメモリ破損の構造

2026年10月27日、Google Chromeに深刻なメモリ破損の脆弱性が公開された。CVE識別子はCVE-2026-118312であり、採番機関（CNA）はChrome自身、最終更新は2026年10月28日付けとされている（出典：CVE公式記録 cve.org）。

脆弱性はChromeの描画処理を担うPaintコンポーネントに存在し、弱点の種類はCWE-119（メモリ破損）に分類される。リモートの攻撃者が細工したHTMLページをユーザーに閲覧させることで悪用でき、成功した場合はブラウザのサンドボックスを越えた任意コードの実行に至る可能性がある。影響を受けるバージョンはGoogle Chrome 156.0.8078.73未満であり、修正版は156.0.8078.73以上である。

CVSS 3.1スコアはCISA-ADPの評価で9.6（CRITICAL）に達する。ベクトル文字列はCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hであり、「攻撃条件の複雑さが低く、特権不要、ユーザー操作のみで成立、スコープ変化、機密性・完全性・可用性への影響がいずれもHigh」という構造を示している。一方でChromiumプロジェクト固有の内部評価は「Medium」とされており、両者の乖離は後述する。

現時点（2026年11月1日時点）のEPSS（悪用確率の統計的推定）は約0.307%（パーセンタイル約0.24）である。CISAの既知悪用脆弱性カタログ（KEV）への掲載はない。

関連記事Chrome Turbolevのメモリ破損は？ ／ Windows版ChromeのViews脆弱性、更新は？

Chrome脆弱性CVE-2026-118312が企業にとって意味すること——CVSSとChromium評価の乖離をどう読むか

Chromiumの内部評価「Medium」は、ChromiumプロジェクトがCVSSとは異なる独自基準でリスクを評価していることを反映している。具体的な評価理由はシート・公式記録では確認できていない。

CVE-2026-118312 主要評価項目の比較

以下に、CVE-2026-118312に関する確認済みの評価項目を整理する。

評価項目	内容	備考
CVE ID	CVE-2026-118312	CNA: Chrome
公開日	2026-10-27（最終更新 2026-10-28）	—
影響対象	Google Chrome 156.0.8078.73未満	—
修正版	156.0.8078.73以上	Googleの公式告知に従う
脆弱なコンポーネント	Paint（描画処理）	CWE-119 メモリ破損
CVSS 3.1スコア	9.6（CRITICAL）	評価者: CISA-ADP
Chromium内部深刻度	Medium	CVSSと評価基準が異なる
EPSS（悪用確率推定）	約0.307%（パーセンタイル約0.24）	2026-11-01時点・推定値
CISA KEV掲載	なし	2026-11-01時点
公式回避策	記載なし	修正版への更新が基本対応

Chrome脆弱性CVE-2026-118312への対応——今やること

Google Chrome 156.0.8078.73未満のバージョンを使用している場合は、修正版（156.0.8078.73以上）への更新を行う。

公式の回避策は、CVE公式記録・Googleの告知のいずれにも記載がない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE公式記録（cve.org）: https://www.cve.org/CVERecord?id=CVE-2026-118312
• NVD（米国国立脆弱性データベース）: https://nvd.nist.gov/vuln/detail/CVE-2026-118312