Google ChromeにCVE-2026-118340——Skiaの脆弱性、修正版へ更新を

公開日：2026年11月2日文：クリスタルメソッド編集部監修：河合継（代表取締役）

Google Chrome脆弱性CVE-2026-118340——悪用未確認、修正版へ更新を

CVE-2026-118340とは——Google ChromeのSkiaにメモリ破損

2026年10月27日、Google ChromeのグラフィクスエンジンSkiaにメモリ破損の脆弱性が公開された。CVE識別子はCVE-2026-118340。採番元（CNA）はChrome、最終更新は2026年10月28日である（出典: cve.org）。

弱点の分類はCWE-119（メモリ破損）。影響を受けるのはバージョン156.0.8078.73より前のChromeであり、遠隔の攻撃者が細工したHTMLページを介してサンドボックス外で任意のコードを実行できる可能性がある。Chromiumプロジェクトにおける深刻度の分類は「High」とされている。

CVSS 3.1スコアは9.6（Critical）。評価ベクターはCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H（評価者: CISA-ADP）であり、ネットワーク経由・攻撃の複雑度低・権限不要・ユーザー操作が必要・スコープ変更あり・機密性/完全性/可用性いずれも高という構成だ（出典: NVD）。

図: CVE-2026-118340の攻撃経路。遠隔の攻撃者が細工したHTMLページを介してChromeのSkia（描画エンジン）でメモリ破損を引き起こし、サンドボックス外での任意コード実行に至るまでの流れと、機密性・完全性・可用性への影響範囲を示す。

同じChromeでSVG処理に見つかった脆弱性は、Google ChromeのSVG処理の脆弱性で説明しています。

関連記事Android版ChromeのCVSS9.6の脆弱性は？

Chrome脆弱性CVE-2026-118340が企業にとって意味すること

スコア9.6というCritical評価は、CVSSの尺度では最上位に近い。評価ベクターでは、攻撃の複雑度が低く、権限は不要で、ユーザー操作（細工されたHTMLページを開くこと）が必要とされている。また、スコープ変更あり（S:C）とされており、サンドボックス外での任意のコード実行が可能になる可能性があるとされる。

一方、FIRST（Forum of Incident Response and Security Teams）のEPSSスコアは2026年11月1日時点で0.00354（パーセンタイル約0.29）であり、これは悪用される確率の統計的な推定値であって、実際に悪用されているかどうかを示すものではない（出典: cve.org）。CISAの既知悪用脆弱性カタログ（KEV）への掲載も2026年11月2日時点では確認されていない。ただし、KEVに掲載されていないことは悪用が起きていないことを保証するものではない。

次に読む：Google ChromeのPaintのメモリ破損は？

Google ChromeにCVE-2026-118312——Paintのメモリ破損、更新を

CVSSスコアと実際のリスクの読み方——主要指標の比較

以下の表に、CVE-2026-118340の評価指標を整理する。

指標	値・状況	読み方のポイント
CVSS 3.1スコア	9.6（Critical）	理論的な最大影響度。実環境での発生確率は別途判断が必要
攻撃の複雑度（AC）	Low（低）	攻撃者に技術的な前提条件が少なく、悪用の敷居が低い
ユーザー操作（UI）	Required（必要）	ゼロクリック攻撃ではない。フィッシング等での誘導は現実的
スコープ変更（S）	Changed（変更あり）	サンドボックス脱出を伴う。ブラウザ外への影響波及が前提
EPSS（悪用確率推定）	0.354%（2026-11-01時点）	悪用される確率の統計的推定値であり、実際の悪用の有無を示すものではない
CISA KEV掲載	なし（2026-11-02時点）	米政府機関での積極的悪用は未確認。非掲載は安全を意味しない
影響を受ける版	156.0.8078.73未満	対象のバージョンを使用している場合は更新が必要

Skiaとはなにか——脆弱性の技術的背景

Skiaは、Google Chromeをはじめ、AndroidやChrome OSでも使われるオープンソースの2Dグラフィクスエンジンだ。ウェブページの描画、フォントのレンダリング、画像処理など、ブラウザの表示処理の根幹を担っている。

CVE-2026-118340は、遠隔の攻撃者が細工されたHTMLページを介してサンドボックス外で任意のコードを実行できる可能性があるとされる。

Chrome脆弱性CVE-2026-118340——今やるべきこと

対応の要点は以下の二点に絞られる。

1. バージョン156.0.8078.73未満のChromeを使用している場合は、ベンダー（Google）の告知に従って修正版へ更新する。

2. 公式の回避策は現時点で記載がない。更新が直ちにできない場合は、ベンダーの公式告知を参照して最新の指示に従うこと。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献

CVE-2026-118340 公式記録（cve.org / CNA: Chrome）— https://www.cve.org/CVERecord?id=CVE-2026-118340（2026-11-02参照）
NVD（National Vulnerability Database）CVE-2026-118340 — https://nvd.nist.gov/vuln/detail/CVE-2026-118340（2026-11-02参照）

重大な脆弱性が出たら、メールでお知らせします

悪用が確認された重大な脆弱性が出たときだけ送ります（頻繁には送りません）。無料・配信停止はメール内のリンクからいつでもできます。