重大 9.6 急ぎ度: 早めに

Chromeにコード実行の脆弱性、156.0.8078.79で修正

Google Chromeの156.0.8078.79より前の版に、細工されたWebページを開くだけでサンドボックスの外でコードが実行されかねない脆弱性が見つかりました。管理下の全端末を修正版へ更新し、再起動まで済んでいるかを確認してください。

CVE-2026-119261 公開 10月31日 0:13 更新 10月31日 0:13 執筆・監修: 佐々木航人が監修しながらAIを活用して執筆

同じ発表の脆弱性 2 件

CVE-2026-119261 重大 9.6
CVE-2026-119263 重大 9.6

記事のイメージ(生成 AI による画像) — 画像は生成 AI で作成したイメージです

急ぎ度: 早めに

CVSS v3は9.6と高く、修正版の156.0.8078.79が公開されているため、自動更新に任せきりにせず早めに全端末へ行き渡らせる段階です。

関係があるか

社員がChromeでWebを閲覧している組織が対象です。端末の更新を情シスが止めている、または更新の配信を遅らせている環境は、とくに版の確認が要ります。

製品	影響を受ける版	修正版
Google Chrome	156.0.8078.79より前の版	156.0.8078.79（OS別の版番号はGoogleのChrome Releasesの告知で確認）

確かめ方

1Chromeのアドレスバーに chrome://version と入力し、表示された版が156.0.8078.79以降かを見る。
2管理コンソールや資産管理ツールを使っている組織は、端末ごとのChromeの版を一覧にして、156.0.8078.79より前の端末を洗い出す。
3更新を配信ポリシーで保留している場合は、保留の設定が残っていないかを確認する。

何が起きたか

Chromeで、細工されたWebページを開くと、ブラウザーの保護の外側で攻撃者の狙ったコードが動くおそれがあります。

問題があるのは、Chromeが文字や図形を画面に描くために使っているグラフィックス部品のSkiaです。入力の検証が不十分で、想定外のデータを適切に弾けないことが原因とされています（CWE-20）。Chromiumの深刻度はHigh、CVSS v3は9.6です。

CVEは2026年10月30日に公表されました。修正版の156.0.8078.79が出ており、更新すれば解消します。

攻撃の流れ

1

ページを用意

攻撃者が、細工したHTMLを含むWebページを用意する。
2

利用者が閲覧

旧版のChromeを使う利用者が、そのページを開く。
3

描画で不備

Skiaの描画処理が入力を十分に検証せず、想定外の状態になる。
4

保護の外へ

サンドボックスの外でコードが実行される可能性がある。

公開されている情報をもとにした流れの例です。

どう悪用されるか

認証は要らず、攻撃者はインターネット越しにページを用意するだけです。利用者がそのページを開く操作は必要で、メールやチャットのリンク、改ざんされたサイト、広告経由などで誘導される場面が考えられます。

サンドボックスは、ページの処理を端末本体から隔てる仕組みです。その外でコードが動くと、端末上の情報の閲覧、改ざん、停止にまで影響が及ぶ想定で、CVSSの機密性・完全性・可用性がいずれも高く評価されているのはそのためです。ただし、記録上は「実行できる可能性がある」という表現にとどまります。

今すぐやること

1
Chromeを156.0.8078.79以降に更新する

設定のChromeについて、または管理側の配信から修正版へ更新します。OSごとの版番号はChrome Releasesの告知で確認してください。
```
chrome://version
```
2

再起動して更新を反映させる

ダウンロードが済んでいても、ブラウザーを開いたままだと旧版で動き続けることがあります。利用者に再起動を案内し、再起動後の版を確認します。
3

更新を遅らせている端末を洗い出す

検証待ちで更新を保留している部署や、長期間電源を入れていない端末が残りやすいところです。配信ポリシーの保留を解き、未更新の端末を追跡します。
4

更新状況を管理側で確認する

管理コンソールや資産管理ツールで、156.0.8078.79未満の端末がゼロになるまで数日おきに確認します。

すぐ更新できないとき

検証などで修正版を当てられない端末は、業務で必要なサイト以外の閲覧を控えさせ、URLフィルタやプロキシで未知のサイトへの接続を絞ります。メールやチャットのリンクを不用意に開かないよう周知するのも有効です。ただし被害の機会を減らすだけで、脆弱性そのものは残ります。

背景

Skiaは、Chromeが文字・図形・画像を画面に描くために使う2Dグラフィックスのライブラリです。Webページの内容を受け取って描画する、ブラウザーの中心に近い部品なので、社外のサイトが送ってくるデータを日常的に処理しています。

Chromeはページの処理をサンドボックスという隔離領域で動かし、ページ側に不具合があっても端末本体へ及びにくくしています。今回の脆弱性は、その隔離の外でコードが動く可能性があるとされるため、CVSSで影響範囲の変化（スコープの変更）が付き、9.6という高い値になっています。社員の全端末で使われるブラウザーだけに、更新の行き渡り具合がそのまま組織のリスクになります。

よくある質問

Q.EdgeなどほかのChromium系ブラウザーも対象ですか。

A.Chromiumを土台にするブラウザーは同じ部品を使うため、影響を受ける可能性があります。修正版の版番号や提供時期は製品ごとに異なるので、使っているブラウザーのベンダーの告知で確認してください。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
Google	Chrome	156.0.8078.79 以上 156.0.8078.79 未満	156.0.8078.79

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ修正版は配布版ごとに違うので、リンク先で確かめてください。

Debian DEBIAN-CVE-2026-119261 chromium

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Improper input validation in Skia in Google Chrome prior to 156.0.8078.79 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High)

出典: Google Chrome Releases NVD GitHub Advisory

参照URL

CHROME-RELEASES Stable Channel Update for Desktop
REDHAT Red Hat
web chromereleases.googleblog.com
web issues.chromium.org
web nvd.nist.gov
web github.com