Android版ChromeにCVE-2026-118321——CVSS9.6、修正版へ更新を

公開日：2026年11月2日文：クリスタルメソッド編集部監修：河合継（代表取締役）

Chrome(Android)にCVE-2026-118321——対象版は更新を

CVE-2026-118321 の確認された事実——何が起きているか

2026年10月27日、Google Chrome(Android版)に脆弱性 CVE-2026-118321 が公開された（最終更新 2026年10月28日、CVE採番元CNA: Chrome）。CVSSスコアは 9.6(CRITICAL) であり、評価者はCISA-ADP（米国サイバーセキュリティ・インフラセキュリティ庁の分析機関）である（出典: cve.org）。

弱点の種類はCWE-20（Improper Input Validation／不適切な入力検証）に分類される。Coreコンポーネントにおける入力検証の不備により、遠隔の攻撃者が細工されたHTMLページを閲覧させるだけでサンドボックス外での任意コード実行を引き起こせる可能性がある。攻撃者側に事前の認証取得は不要で、ユーザー操作が1回必要となる。

Chromiumの内部セキュリティ深刻度は「High」と分類されている。2026年11月1日時点のEPSS（悪用される確率の統計的推定値）は0.354%（パーセンタイル約0.29）と現時点では低い水準だが、これは確定値ではなく推定であり、将来的に変動しうる。CISA KEV（悪用確認済み脆弱性カタログ）への掲載は、2026年11月2日時点では確認されていない。

図: CVE-2026-118321 の攻撃経路。遠隔の攻撃者が細工したHTMLを閲覧させることで、ChromeのサンドボックスをスキップしてAndroid端末上でコードが実行されうる。

パソコン向けにも更新が必要なのかどうかは、Windows版ChromeのViewsの脆弱性で説明しています。

関連記事Chrome FileSystemの脆弱性、更新は？

Chrome 脆弱性 CVE-2026-118321 のCVSSスコアが9.6に達した理由

CVSS 9.6（CRITICAL、評価者: CISA-ADP）のベクターは CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H である。

CVSS指標	値	読み解き
攻撃経路 (AV)	Network	インターネット経由で攻撃が届く
攻撃の複雑さ (AC)	Low	特殊な前提条件が不要
必要な権限 (PR)	None	攻撃者は事前認証なしで攻撃できる
ユーザー操作 (UI)	Required	リンクを開く等の操作が1回必要
スコープ (S)	Changed	サンドボックス外へ影響が及ぶ
機密性 / 完全性 / 可用性 (C/I/A)	High / High / High	3軸すべてで最大評価

スコープ(S)はChangedとなっており、サンドボックス外へ影響が及ぶ可能性があるとされている。

CWE-20（不適切な入力検証）はHTMLの解析・処理段階で外部入力が適切に検証されない状態を指す。ただし、CVE公開時点においてベンダーからの詳細な技術解説は確認できていないため、実装レベルの詳細については断定しない。

次に読む：Google ChromeのPaintメモリ破損は？

Google ChromeにCVE-2026-118312——Paintのメモリ破損、更新を

Chrome 脆弱性 CVE-2026-118321 の悪用状況

EPSSが示す悪用確率（2026年11月1日時点: 0.354%）は現時点では低い水準だが、この数値は公開情報の増加や実証コードの流通状況によって変動する推定値である。KEV未掲載は「悪用なし」を意味しない。KEVは悪用が公的に確認された事例を記録するカタログであり、未掲載はあくまで「まだ確認されていない」という状態に過ぎない。