Google ChromeにCVE-2026-118342——CVSS9.6、修正版へ更新を

CVE-2026-118342とは——Google ChromeのEditingコンポーネントに潜む深刻な欠陥

2026年10月27日、Googleのブラウザ「Chrome」に重大な脆弱性が公開された。識別子はCVE-2026-118342。CVE採番機関であるCNA（Chrome）が公式に記録し、2026年10月28日に最終更新されている（出典：CVE公式記録 cve.org）。

脆弱性の種類はCWE-787「Out of bounds write（範囲外書き込み）」。ChromeのEditingコンポーネント——テキスト入力や編集操作を処理する内部機構——に起因し、悪意のあるHTMLページを通じてリモートの攻撃者がサンドボックス外で任意のコードを実行できる可能性がある。影響を受けるのは156.0.8078.73より前のバージョンのGoogle Chromeである。

CVSS 3.1スコアは9.6（CRITICAL）。評価はCISA-ADPによるもので、ベクターはAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hと算定されている。ネットワーク経由・低複雑度・認証不要・ユーザー操作あり・スコープ変更あり・機密性・完全性・可用性いずれも高、という組み合わせがこのスコアを生んでいる。Chromiumのセキュリティ深刻度はHighとされている。

関連記事テキストマイニングとは？意味とできること ／ VOICEVOX 使い方｜インストールから音声生成まで【2026】

Chrome脆弱性CVE-2026-118342が企業にとって重大な理由——CVSSベクターを読む

CVSS9.6という数値の意味を、ベクターの各項目から読み解く。

攻撃はネットワーク経由で成立し（AV:N）、特別な前提条件を必要とせず（AC:L）、攻撃者側の認証も不要（PR:N）である。必要な条件はユーザーが悪意あるページをブラウザで開くこと（UI:R）のみだ。技術的な障壁が低いことが、このスコアの高さを支えている。

とりわけ注視すべきはスコープの項目「S:C（Changed）」である。これはブラウザプロセスの境界を超えてシステム全体に影響が及ぶ可能性を示す。機密性・完全性・可用性の三項目がいずれも「高」とされているため、情報窃取・データ改ざん・システム停止のいずれの被害シナリオも排除できない。

FIRST EPSSによる悪用確率の統計的推定値は0.00295（パーセンタイル0.22182、2026年11月1日時点）であり、現時点で積極的な悪用が広く観測されているとは言えない（出典：cve.org / CVE-2026-118342）。CISAのKnown Exploited Vulnerabilities（KEV）カタログへの掲載も確認されていない。ただし、EPSSはあくまで統計的推定であり、悪用されないことを保証するものではない。

Chrome脆弱性CVE-2026-118342への対応——今やること3点

対応は以下の3点に集約される。手順の詳細は各ベンダーの公式告知を参照すること。

CVE-2026-118342 対応チェックリスト

確認項目	判断基準	対応
使用中のChromeバージョン	156.0.8078.73 未満	影響あり。修正版へ更新
使用中のChromeバージョン	156.0.8078.73 以降	CVE説明上は対象外
公式の回避策	Googleの告知を参照	確認できた公式回避策なし。更新を優先する
修正版が適用できない場合	管理制約・互換性問題など	ベンダーの告知に従う

1. 修正版への更新。CVE説明から、156.0.8078.73以降のバージョンでは本脆弱性の対象外であることが読み取れる。影響を受ける版を使用している場合は、ベンダーの告知の修正版へ更新する。

2. 公式回避策の確認。現時点で確認できた公式の回避策はない。

3. 修正版が適用できない場合はベンダー告知に従う。システム互換性の制約や管理上の理由で即座に更新できない場合は、ベンダーの告知に従う。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

Chrome脆弱性CVE-2026-118342の技術的背景——Out of bounds writeとブラウザのサンドボックス構造

Out of bounds write（CWE-787）は、プログラムが確保したメモリ領域の境界を超えてデータを書き込む脆弱性である。この種の欠陥は、攻撃者が意図したアドレスに任意のデータを書き込む手段として悪用される。書き込まれたデータが制御フロー（関数ポインタ・リターンアドレスなど）を書き換えれば、攻撃者の用意したコードへ処理を誘導できる。

Chromeのブラウザプロセスはサンドボックスによってシステムへのアクセスを制限しているが、今回の脆弱性はそのサンドボックス外でのコード実行を可能にすると評価されている（CVSS S:C）。問題が生じているのはEditingコンポーネントである。Chromeにおけるテキスト編集処理は、contenteditable属性付き要素への入力処理など複雑な実装を含む。HTMLの構造やユーザー操作によって特定の状態を誘発し、境界外の書き込みを引き起こすことができれば、攻撃者は制御フローを書き換える足掛かりを得る可能性がある。

なお、ChromiumベースのブラウザはChromeと同じレンダリングエンジンを共有しているが、各ブラウザの修正版の有無・版番号については各ベンダーの公式告知で個別に確認する必要がある。本記事の対象はGoogle Chromeであり、他のChromiumベースブラウザへの直接の適用可否は断定しない。

---

参考文献

• CVE公式記録：CVE-2026-118342 — https://www.cve.org/CVERecord?id=CVE-2026-118342
• NVD（National Vulnerability Database）：CVE-2026-118342 — https://nvd.nist.gov/vuln/detail/CVE-2026-118342