つづき ━━━━━━━━━━━━ 【3】Google Chrome：JavaScript処理のメモリ破壊から不正コード実行の恐れ ━━━━━━━━━━━━ ■ CVE番号 CVE-2026-118359 公開：2026/10/27 CVE情報更新：2026/10/29 ■ 概要 Google ChromeのJavaScript実行エンジン「V8」に、メモリ破壊の脆弱性が発見されました。 V8はWebページに含まれるJavaScriptを実行するためのプログラムです。 攻撃者が細工したWebページを利用者に開かせることで、Chromeの内部メモリが破壊され、ブラウザーのサンドボックス内で不正なコードを実行される可能性があります。 サンドボックスとは、ブラウザー内部の処理がOS全体へ影響しないよう、実行範囲を制限する仕組みです。 今回のCVE単独でサンドボックスを突破し、OS全体の管理者権限を取得できると確認されたわけではありません。 ■ 影響バージョン Google Chrome： 156.0.8078.73より前 修正済みバージョン： ・Windows／macOS：156.0.8078.73または156.0.8078.74 ・Linux：156.0.8078.73 Googleは10月27日のセキュリティ更新で、合計52件の脆弱性修正を公開しました。 ■ 緊急度 CVSS v3.1 Base：8.8／10（高） ※CISA-ADPによる評価値。Google公式ではChromiumの重要度を「High」としています。 ■ CVSS的コメント (a) Threat：悪用状況・攻撃のしやすさ 攻撃者は、細工したWebページを閲覧させることで脆弱性を悪用できる可能性があります。 認証は不要ですが、利用者が悪意あるページを開く操作が必要です。 現時点で確認できる公開情報では、本CVEが実際の攻撃に使用されたことを示す確かな証拠は確認できませんでした。 ただし、Googleは利用者への修正適用が進むまで、技術的な詳細を制限する場合があります。 そのため、攻撃手法の詳細や悪用状況には不明点が残ります。 (b) Environmental：導入環境による影響 インターネット閲覧を許可している一般的な業務端末では、攻撃者が用意したWebページを開く機会があるため、更新を優先する必要があります。 閉域環境であっても、内部Webサイトや持ち込まれたHTMLファイルなどをChromeで処理する場合には、攻撃経路が完全になくなるわけではありません。 一方、外部・内部ともに信頼できないWebコンテンツを扱わない端末では、攻撃機会は相対的に小さくなります。 ■ 推奨対応 ・Chromeを修正済みバージョン以降へ更新 ・chrome://settings/help でバージョンを確認 ・更新後、Chromeを再起動 ・組織管理端末では更新ポリシーと適用状況を確認 ・更新困難な場合は不審なWebサイトやHTMLファイルの閲覧を制限 Chromeは更新プログラムを取得していても、ブラウザーの再起動前には修正が有効になっていない場合があります。 ■ 一次情報 Google Chrome公式： https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop_0562499947.html NVD： https://nvd.nist.gov/vuln/detail/CVE-2026-118359 http://CVE.org： https://www.cve.org/CVERecord?id=CVE-2026-118359 ━━━━━━━━━━━━ 【本日の総括】 ━━━━━━━━━━━━ 本日の3件は、いずれもCVSS基本評価8.0以上ですが、実際の脅威状況は異なります。 ① Ivanti Connect Secure 実際の侵害が確認されており、追加の脆弱性もCISA KEVへ登録されました。認証基盤への被害波及を考慮すると、対象製品を使用している組織では最優先の確認対象です。 ② ヤマハ NWR100 認証不要でルーター上のOSコマンドを実行される可能性があります。修正版は公開済みで、Web管理画面への到達性が重要な評価ポイントです。 ③ Google Chrome Webページの閲覧を起点として不正コードを実行される恐れがあります。修正版への更新とブラウザー再起動が基本対策です。 【CVSS評価の考え方】 Base： 脆弱性そのものの技術的な深刻度。 Threat： 実際の悪用状況、攻撃手法の成熟度など。 Environmental： 自組織のネットワーク構成、攻撃経路、資産重要度、補完対策など。 本速報のThreat／Environmentalコメントは定性的な評価です。正式なCVSS Threat Score／Environmental Scoreを算出したものではありません。 また、CVSS v3.1ではThreatに相当する指標群をTemporalと呼びます。 今回、特に注目したいのはIvantiの事例です。 CVSS基本値8.6の脆弱性であっても、別の脆弱性と連鎖することで、認証不要のroot権限取得や内部ネットワークへの侵入につながっています。 つまり、CVSSの基本値だけでは、実際の攻撃シナリオや事業影響を十分に表現できません。 脆弱性管理では、次の順序で評価することが重要です。 ① 対象製品・バージョンの該当性 ② 攻撃者からのネットワーク到達性 ③ 実際の悪用状況 ④ 複数脆弱性の連鎖可能性 ⑤ 侵害時の業務影響 ⑥ 修正パッチ・補完対策の状況 なお、今回は直近24時間に新規公開された情報だけでは3件を構成できなかったため、7日間へ調査範囲を拡張しました。 既報の単純な繰り返しを避け、Ivantiの重要更新と新規に取り上げる2件を選定しています。 #CVE #脆弱性情報 #サイバーセキュリティ #情報セキュリティ #CVSS #Ivanti #YAMAHA #GoogleChrome #ネットワーク #ITインフラ