Chromeの脆弱性とは？2026年10月末の修正と利用者がやること

確認日：2026年11月1日対象：パソコン向けChromeの2026年10月27日・29日のセキュリティ修正 10月29日の修正版：Windows・Macは156.0.8078.79/.80、Linuxは156.0.8078.79 公式資料に基づく解説。手元の端末での更新操作は未確認

2026年10月末、Google Chromeで重大な脆弱性を直す更新が続きました。Webサイトを運営する人に限らず、普段Chromeで調べ物や買い物をする人にも関係する修正です。

本記事では、特に深刻度の高い5件を取り上げ、不具合がある場所と影響を図で解説します。利用者が行う対応は、Chromeを最新版へ更新し、再起動を終えることです。

【メモ】

同じ月には、PHP、Node.js、Linuxカーネルでも重大な脆弱性が公表されました。PHP2Shell、Node.jsのBrotli脆弱性、LinuxカーネルのCVE-2026-98432も解説しています。

Chromeの脆弱性とは

今回の対象は、Chrome本体に見つかった、外から受け取るデータの確認やメモリの扱いの不具合です。細工されたWebページを開くことが攻撃につながるおそれがあり、特定の拡張機能を入れた人だけの問題ではありません。

10月27日と29日の更新には、最も重い区分のCriticalと評価された不具合が5件含まれていました。今回取り上げる脆弱性と対応の要点を、表にまとめます。

項目	内容
対象	Windows・Mac・LinuxのChrome本体
取り上げる脆弱性	Criticalの5件。ファイル、描画、画面の配置、音声・映像を扱う処理の不具合
悪用されると	攻撃者のプログラムを実行されたり、メモリの中身を読み取られたりするおそれがある
深刻度	5件ともChromeの開発元の評価はCritical（最も重い区分）
10月29日の修正版	Windows・Macは156.0.8078.79/.80、Linuxは156.0.8078.79
悪用の報告	確認した2つの公式告知には、5件の実際の悪用を確認したという記述はない

メモリとは、処理中の情報を一時的に置く場所です。攻撃者が用意したプログラムを、遠隔から動かせてしまう被害は、遠隔コード実行（RCE）と呼びます。

5件で影響する範囲は同じではありません。端末全体への影響を抑える「サンドボックス」という制限の中で起きるものと、その外まで影響するおそれがあるものを、分けて読む必要があります。

Chromeがページを処理する流れ

5件の不具合は、ページの表示や、ファイル・音声・映像を扱う機能に関わっています。下の図では、Chromeとサーバーのやり取り、表示の処理、必要に応じて使う機能を、CVE番号と合わせて見てください。

Chromeがサーバーへページを要求し、応答を受けて位置を計算し描画する流れ。LayoutとSkiaの脆弱性、ページに応じて使うファイルや音声・映像の機能に関わる脆弱性の番号を示している。

Layoutは文字や画像の位置と大きさを決め、Skiaは文字や図形を描く処理を担います。FileAPIやFileSystemはファイルの扱い、MediaStreamは音声や映像の流れに関わる機能です。

Chromeは、ページを扱う処理の権限をサンドボックスで制限しています。ただし、その中でのメモリの読み取りやコード実行も、利用者に関わる問題です。

ここからは、脆弱性を1件ずつ区別する識別番号のCVE番号で、それぞれの不具合を説明します。

CVE-2026-118306の脆弱性の仕組み

CVE-2026-118306は、FileSystemのメモリ破損で、サンドボックスの外でコードを実行される可能性がある不具合です。下の図は、公式記録で公表された影響の範囲を示しています。

CVE-2026-118306はFileSystemのメモリ破損で、公式記録ではサンドボックスの外でコードを実行される可能性が示されている。

メモリ破損とは、メモリの中身や、その扱いが正しい状態ではなくなる種類の不具合を指します。今回の公式記録では、細工したHTMLページを通じて引き起こせると説明されました。

今回の5件のうち、公式記録に「サンドボックスの外」と書かれているのは、この1件です。ただし、公開資料だけでは、書き換えられるメモリの場所や、端末で最終的に得られる権限までは分かりません。OSの管理者権限を必ず奪える、とは言い切れない説明です。

この不具合は、156.0.8078.73より前のChromeにあり、10月27日の更新で修正されました。

CVE-2026-118331の脆弱性の仕組み

CVE-2026-118331は、ファイルやそのデータを扱うFileAPIで、入力の確認が足りなかった不具合です。細工したHTMLページを通じ、サンドボックスの中でコードを実行される可能性があり、図では不具合の場所と影響の関係を示しました。

細工したHTMLページをChromeが処理すると、FileAPIの入力の確認不足を通じ、サンドボックスの中でコードを実行される可能性がある。公開記録に書かれた関係を示す図。

入力の確認では、渡された値が想定した形式や範囲に収まっているかなどを調べます。具体的にどの値の確認が足りなかったのかは、確認した公開資料では説明されていません。

156.0.8078.73より前のChromeが対象で、10月27日に修正されました。サンドボックスの中での実行を、端末のすべてのファイルを操作できる意味に読み替えることはできません。

CVE-2026-118348の脆弱性の仕組み

CVE-2026-118348は、文字や図形を描くSkiaで、入力の確認が足りなかった不具合です。FileAPIの不具合と同じく、サンドボックスの中でコードを実行される可能性があり、図では描画の処理で起きる点を見てください。

細工したHTMLページをChromeが処理すると、Skiaの入力の確認不足を通じ、サンドボックスの中でコードを実行される可能性がある。描画の処理に関わる不具合であることを示す図。

Skiaは、Chromeなどが文字や図形を画面へ描くために使うソフトです。FileAPIとは役割が違いますが、外から渡された入力の確認不足という種類は共通しています。

この不具合も、156.0.8078.73より前のChromeが対象で、10月27日に修正されました。どの入力や描画の操作で起きるかといった詳細は、確認した公開資料では分かりません。

CVE-2026-118344の脆弱性の仕組み

CVE-2026-118344は、Layoutで使い終えて解放したメモリを、その後も使ってしまう不具合です。「use after free」という種類で、下の図はその一般的な仕組みを示しています。

メモリを使い終えて解放した後、古い参照が残っていると、その場所を使い続けてしまう。use after freeの一般的な仕組みを示す図。

解放したメモリは、別のデータを置くために再利用されることがあります。以前のデータが残っているつもりで使うと、想定と違う中身を読み書きしてしまうおそれがあるのです。

今回のChrome内部の処理順は、確認した公開資料では説明されていません。公式記録に書かれた影響は、細工したHTMLページを通じて、サンドボックスの中で任意のコードを実行されることです。

156.0.8078.73より前のChromeが対象で、10月27日に修正されました。

CVE-2026-76024の脆弱性の仕組み

CVE-2026-76024は、音声や映像の流れを扱うMediaStreamのメモリ破損です。図の右側に示した影響は、前の4件のコード実行と違い、サンドボックスの中のメモリを読み取られる可能性になります。

細工したHTMLページをChromeが処理すると、MediaStreamのメモリ破損を通じ、サンドボックスの中のメモリを読み取られる可能性がある。コード実行とは影響が違うことを示す図。

公式記録では、細工したHTMLページを通じて引き起こせると説明されました。対象は156.0.8078.79より前のChromeで、10月29日の更新で修正されています。

どのデータが読み取られるかや、カメラ・マイクの許可が攻撃に必要かは、確認した公開資料からは分かりません。「カメラを使わなければ関係ない」「マイクを拒否すれば防げる」とは判断しないでください。

このCVEも、Chrome側の評価はCriticalです。一方、CVEの記録にCISAが追加したCVSS v3.1の評価は6.5でした。評価の基準が違うため、Criticalという言葉から、すべて9点以上だと考えるのは適切ではありません。

公表から修正までの流れ

Chromeは、10月27日に4件のCriticalを含む修正版を出し、29日には別の1件を含む修正版を公開しました。主な出来事を、公式告知の日付の順に並べます。

日付	出来事
2026年10月27日	52件のセキュリティ修正を公表。FileSystem、FileAPI、Skia、LayoutのCriticalの4件を含む。Windows・Macは156.0.8078.73/.74、Linuxは156.0.8078.73へ更新
2026年10月29日	21件のセキュリティ修正を公表。MediaStreamのCriticalの1件を含む。Windows・Macは156.0.8078.79/.80、Linuxは156.0.8078.79へ更新

件数は各告知に書かれたセキュリティ修正の数です。実際に攻撃が起きた件数を示すものではなく、2つを足した数が独立した脆弱性の総数だとも限りません。

27日の版へ更新しただけでは、29日に修正されたMediaStreamの不具合への対応は終わっていませんでした。修正は数日おきにも続くため、古い告知の番号で止めず、その時点で提供されている版を確かめましょう。

修正版の公開前後で、危険はどう変わったか

修正版が公開されても、古いChromeを使い続けていれば、不具合は残ります。下の図は、公開前、公開後も未更新の期間、修正版の適用後を分けたものです。

修正版の公開前には利用者がこの不具合の修正版を使えず、公開後も古いChromeには不具合が残る。自分のChromeを更新して再起動した後に修正が適用されることを、時間の順に示す図。

Googleは、利用者の多くに更新が届くまで、不具合の詳細の公開を制限する場合があると説明しています。修正が配られたことと、自分の端末で修正されたChromeが動いていることは別です。

確認した2つの告知には、5件の実際の悪用を確認したという記述はありませんでした。ただし、攻撃がないという保証ではなく、今回の攻撃件数がいつ増えたかも分かりません。

そのため、PHPやNode.jsの記事で紹介した攻撃の経緯を、今回にも当てはめずに考える必要があります。利用者ができるのは、更新が用意されたら早く適用し、未更新の期間を短くすることです。

Chromeの利用者がやること

やることは、自分のChromeの版を確かめ、現在提供されている最新版を入れて再起動することです。端末を管理している人によって、更新する人と確認する内容が変わります。

Chromeを使っている環境ごとの対応

自分で管理するパソコンなら、自分でChromeを更新します。会社や学校の管理する端末では、更新が制限されている場合があるため、次のように対応を分けてください。

使っている環境	やること
自分で管理するパソコン	Chromeの更新を確認し、再起動する
会社や学校が管理するパソコン	自分で更新できなければ、管理者に修正版の適用状況を確認する

本記事で示した版番号は、パソコン向けです。AndroidやiPhoneのChrome、Microsoft Edgeなど別のブラウザーへ、そのまま当てはめることはできません。

Chromeの版と更新の状態を確かめる

パソコンでは、Chromeの右上のメニューから「ヘルプ」→「Google Chromeについて」を開くと、版と更新の状態を確認できます。数字とともに、更新に失敗していないかも確認してください。

今回の修正が配られた版は、10月29日の時点でWindows・Macが156.0.8078.79/.80、Linuxが156.0.8078.79です。これは記事で扱った修正版の番号なので、あとから読む場合は、その時点で提供されるさらに新しい版を使ってください。

「.79/.80」は、末尾が79と80の2つの版を表しています。どちらか小さい方へ合わせる必要はありません。

修正版を入れて再起動する

更新後に「再起動」が表示されたら、入力中の内容などを保存してから選んでください。下の図のように、更新の確認、再起動、版の確認までを一続きの対応として進めます。

Chromeの更新を確認し、修正版を受け取ったら再起動する。開き直した後に、版と更新の状態をもう一度確かめる流れ。

更新のために、表示しているサイトの案内から別のインストーラーを入れる必要はありません。更新が失敗しているときは、単に「再起動」が表示されないことだけで、対策済みとは判断できない状態です。

Chromeの更新を確認したら、再起動を終え、新しい版が動いていることまで確かめておきましょう。

参考にした一次情報

修正版の番号はChromeの公式告知、不具合の影響はCVE Programの公式記録で確認しました。CVEのリンク先は、公開されているJSON形式の記録です。

仕組みの説明と更新の案内には、次の資料も参照しました。