Google ChromeにCVE-2026-118316——V8の入力検証不備、更新を

CVE-2026-118316とは——V8の入力検証不備でリモートコード実行の恐れ

2026年10月27日、CVE公式（cve.org）にGoogle ChromeのJavaScriptエンジン「V8」に関する脆弱性記録が公開された。CVE番号はCVE-2026-118316。弱点の種類はCWE-20（Improper input validation：不適切な入力検証）に分類され、CVSS 3.1スコアは9.6（Critical）と評価されている（評価者：CISA-ADP）。最終更新は2026年10月28日付けで記録されている。

この脆弱性を悪用すると、リモートの攻撃者が細工されたHTMLページを介してサンドボックス外で任意のコードを実行できる可能性がある。CVSSベクターはAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hである。

影響を受けるバージョンは156.0.8078.73より前のGoogle Chrome。Chromiumのセキュリティ深刻度は「High」と位置づけられている。

関連記事強化学習の入門：アルゴリズムは？ ／ VOICEVOX 使い方｜インストールから音声生成まで【2026】

Chrome脆弱性CVE-2026-118316が日本企業にとって意味すること

V8はChromeがJavaScriptを処理するエンジンであり、ほぼすべてのWebページ閲覧で動作する。

CVE説明によれば、リモートの攻撃者が細工されたHTMLページを介してサンドボックス外で任意のコードを実行できる可能性がある。

一方、現時点（2026年11月2日）においてCISAのKEV（既知悪用済み脆弱性カタログ）への掲載はなく、実際の悪用の報告は確認されていない。FIRSTが提供するEPSS（Exploit Prediction Scoring System）による悪用確率の統計的推定値は0.00295（パーセンタイル：0.222、2026年11月1日時点）であり、EPSSはあくまで確率の推定であり、悪用の有無を確定するものではない。

CVSSスコアと悪用状況の読み方——数値だけで優先度を決めない

CVSS 9.6というスコアは技術的な深刻度を表す指標であり、実環境での悪用リスクや自組織への影響を直接示すものではない。対応の優先度を判断する際は、複数の観点を組み合わせることが現場では一般的に求められる。

CVE-2026-118316：主要指標の整理

指標	値・状況	読み方・注意点
CVSS 3.1 スコア	9.6（Critical）	技術的な深刻度。自社影響やリスクを直接示さない
CVSS 評価者	CISA-ADP	評価者が異なれば値も異なる場合がある
EPSS（悪用確率推定）	0.00295（パーセンタイル 0.222）	統計的推定値。確定ではなく今後変動しうる（2026年11月1日時点）
CISA KEV 掲載	なし	現時点で悪用確認なし。今後追加される可能性は排除しない
攻撃条件	特権不要・複雑度低・ユーザー操作要	悪意あるページへの誘導が攻撃の前提となる
影響バージョン	Chrome 156.0.8078.73 未満	配布パッケージの修正版は各ベンダーの告知で判断する

CVSSスコアと現状の悪用状況の両方を継続的に追うことが、実務的な対応判断の基本となる。

Chrome脆弱性CVE-2026-118316への実務対応——今やること

対応として確実に有効なのは、修正版への更新だ。CVE公式記録（cve.org）に明示された公式の回避策は現時点では存在しない。ベンダーが告知する修正版（156.0.8078.73以降）へのアップデートが唯一の根本的な対処となる。

公式の回避策はCVEの記録上、現時点では示されていない。非公式の緩和措置を検討する場合は「公式の根拠がない」と理解した上で慎重に扱う必要がある。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE公式記録（cve.org）: CVE-2026-118316 — https://www.cve.org/CVERecord?id=CVE-2026-118316
• NVD（米国国立脆弱性データベース）: CVE-2026-118316 — https://nvd.nist.gov/vuln/detail/CVE-2026-118316