Google ChromeにCVE-2026-119261——Skiaの脆弱性、修正版へ更新を

Chrome脆弱性CVE-2026-119261とは何か

2026年10月30日、Google Chromeのグラフィックエンジン「Skia」において深刻な脆弱性が公式に登録された。識別子はCVE-2026-119261。採番元CNA（CVE Numbering Authority）はChrome自身であり、情報源としての一次性は高い（出典：CVE Program — CVE-2026-119261）。

弱点の分類はCWE-20（Improper Input Validation、入力検証不備）。外部から受け取ったデータを適切に検証しないまま処理するコードパターンであり、攻撃者が細工したHTMLページをユーザーが開くだけで、Chromeのサンドボックスを越えて任意のコードが実行される可能性があるとされている。Chromiumプロジェクト側のセキュリティ深刻度分類は「High」。CVE最終更新は2026年10月31日。

CVSS 3.1スコアはCISA-ADPの評価で9.6（CRITICAL）に達する。ベクター文字列CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hは、次の条件を示している。

• AV:N：攻撃者はインターネット越しにリモートから攻撃できる。物理アクセスは不要。
• AC:L：攻撃成立に特殊な条件や前提知識を要しない。
• PR:N：攻撃者側に事前の認証・権限は不要。
• UI:R：被害者が細工されたHTMLページを開くという操作が必要。
• S:C（スコープ変化）：Chromeのサンドボックス内にとどまらず、外部のOS・システム領域へ影響が波及する可能性がある。
• C:H / I:H / A:H：機密性・完全性・可用性のいずれも高い影響が生じうる。

関連記事ChromeのV8入力検証不備とは？ ／ ChromeのPaintメモリ破損は？

影響を受けるバージョンと修正版の確認方法

CVE公式記録（cve.org）によれば、本脆弱性の影響を受けるのはバージョン156.0.8078.79より前のGoogle Chromeである。156.0.8078.79以降を使用していれば、CVEの記載上は対象外となる。

EPSS・KEV・Chromiumの深刻度から読む悪用リスクの位置づけ

CVE-2026-119261に対するEPSS（Exploit Prediction Scoring System）スコアは2026年11月1日時点で0.00282（パーセンタイル：約0.207）とされている（出典：NVD — CVE-2026-119261）。EPSSはFIRSTが提供する統計的推定モデルであり、30日以内に実際に悪用される確率の目安として参照される指標だが、確定値ではない。現時点のスコアは相対的に低い水準に位置する。

CISA KEV（Known Exploited Vulnerabilities Catalog）への掲載は確認されていない（2026年11月2日時点）。KEV未掲載は「CISAが実際の悪用を確認していない」ことを意味するにとどまり、「悪用されていない」と同義ではない。CVE公開直後はほとんどの脆弱性が未掲載の状態から始まり、状況は変化しうる。

CVSSがCRITICALであることと、実際の悪用活動の活発さは別の軸だ。CVSSは脆弱性の理論的な深刻度を示し、EPSSは実際の悪用コードの流通状況等から確率を推定する。両者は異なる軸の指標であり、CVSSは深刻度、EPSSは悪用確率の推定を示す。

CVE-2026-119261 主要指標サマリー（2026年11月2日時点）

指標	値・ステータス	補足
CVSSスコア（CVSS 3.1）	9.6（CRITICAL）	評価者：CISA-ADP
影響を受けるバージョン	156.0.8078.79未満	Google Chrome
弱点分類	CWE-20（入力検証不備）	Skiaコンポーネント
攻撃ベクター	ネットワーク経由（AV:N）	ユーザー操作が必要（UI:R）
EPSS（悪用確率の推定）	約0.282%（パーセンタイル 約0.21）	2026-11-01時点・確定値ではない
CISA KEV掲載	掲載なし	2026-11-02時点
Chromiumセキュリティ深刻度	High	Chromiumプロジェクト分類
CVE公開日	2026年10月30日	最終更新：2026年10月31日

Chrome脆弱性CVE-2026-119261に対して今すぐ行うこと

対応の起点は明確だ。現在使用しているGoogle Chromeのバージョンを確認し、156.0.8078.79より前のバージョンであれば速やかに更新する。CVE公式記録（cve.org）および取得できた情報の範囲では、修正版バージョン156.0.8078.79への更新以外の公式回避策は確認されていない。Googleの公式セキュリティ告知ページを直接参照して最新情報を確認することを推奨する。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

この脆弱性が示す、Chromeセキュリティ管理の構造的論点

CVE-2026-119261はSkiaという描画エンジンに起因する。SkiaはChrome以外にもAndroidやFlutter等で広く利用されているオープンソースのグラフィックライブラリだ。今回の脆弱性がSkia本体に由来するのか、ChromeのSkia統合層にあるのかは公開情報の範囲では断定できないが、他ブラウザ・プラットフォームへの影響は、CVE公式記録には書かれていない。

CISA KEV未掲載・EPSSスコア低値という現状は、「今は問題ない」を意味しない。CISA KEVに掲載されていないことは、CISAが実際の悪用を確認していないことを示すにとどまり、今後の状況が変化しないことを意味しない。

---

参考文献

• CVE Program — CVE-2026-119261: https://www.cve.org/CVERecord?id=CVE-2026-119261
• NVD（National Vulnerability Database）— CVE-2026-119261: https://nvd.nist.gov/vuln/detail/CVE-2026-119261