Google ChromeのV8エンジンに深刻度「High」の脆弱性CVE-2026-85046が判明、米CISAが悪用カタログに追加

要点

• Google ChromeのJavaScriptエンジン「V8」において、型の取り違えに起因する脆弱性「CVE-2026-85046」が判明した。

• 悪意をもって細工されたHTMLページを読み込ませることで、リモートの攻撃者がサンドボックス内で任意のコードを実行できる可能性がある。

• 影響を受けるのはバージョン152.0.7977.82未満のGoogle Chromeであり、Chromiumプロジェクトによる深刻度は「High」と評価されている。

• CISA-ADPによるCVSS v3.1ベーススコアは8.8（HIGH）と算出されており、米CISAは本脆弱性を悪用確認済みカタログ（KEV）に追加して2026年9月18日までの対応を求めている。

• Googleが提供するWebブラウザ「Google Chrome」において、JavaScriptエンジンに起因する脆弱性「CVE-2026-85046」が確認された。米国立標準技術研究所（NIST）の脆弱性データベース（NVD）に2026年9月3日付で情報が公開され、翌9月4日には米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）が既知の悪用された脆弱性カタログ（KEV）へ登録したことが明らかになった。

脆弱性の概要と影響を受けるバージョン

今回報告された脆弱性「CVE-2026-85046」は、Google Chromeに組み込まれているJavaScriptおよびWebAssemblyエンジン「V8」に存在する欠陥だ。共通脆弱性タイプ識別子では「CWE-843（互換性のない型を用いたリソースへのアクセス、通称：型混同／Type Confusion）」として分類されている。型混同とは、プログラムがある形式のデータとしてメモリ上に確保した領域を、別の異なるデータ型として誤って処理してしまう不具合を指す。

この不具合により、攻撃者が巧妙に細工したHTMLページを作成し、それをユーザーに開かせることで、リモート環境からブラウザのサンドボックス（プログラムの動作を保護区画内に隔離するセキュリティ機構）内部において任意のコードを実行させることが可能になるという。

影響を受ける製品構成として、Google Chromeのバージョン「152.0.7977.82」未満の環境が指定されている。公開情報によれば、バージョン152.0.7977.82以降への更新が本脆弱性の対象外となる構成として示されている。

深刻度の評価とCVSSスコアの詳細

Chromiumプロジェクトにおける本脆弱性のセキュリティ深刻度（Security Severity）は「High（高）」と評価されている。

また、NVDに掲載されたCISA-ADP（CISAの分析担当組織）による共通脆弱性評価システム「CVSS v3.1」の評価では、基本値（Base Score）が「8.8（HIGH）」と算出された。その詳細を示すベクター文字列は「CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H」となっている。

この評価基準の内訳は以下の通りである。

• 攻撃元区分（Attack Vector / AV:N）：ネットワーク経由での攻撃が可能であり、遠隔地から細工したWebサイト等を通じて攻撃が行われる。
• 攻撃条件の複雑さ（Attack Complexity / AC:L）：攻撃を実行するための条件や難易度が低く、複雑な前提を必要としない。
• 必要な特権レベル（Privileges Required / PR:N）：攻撃にあたって事前の認証やシステム権限を必要としない。
• 利用者の関与（User Interaction / UI:R）：攻撃を成立させるために、ユーザーが悪意あるWebページを閲覧するなどの一定の操作を伴う必要がある。
• スコープ（Scope / S:U）：脆弱性の影響がサンドボックスの保護境界を越えてシステム全体に波及するものではなく、変更なし（Unchanged）にとどまる。
• 機密性・完全性・可用性への影響（C:H/I:H/A:H）：情報の漏洩（機密性）、改ざん（完全性）、プロセスの停止（可用性）のすべてにおいて重大な影響（High）を及ぼす可能性がある。

なお、NVD自身による独自評価（NIST Base Score）は現時点で「N/A」とされており、引き続き評価作業が進められている状況である。

CISAによる悪用カタログへの追加と対応要件

米CISAは2026年9月4日付で、本件を「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog: KEV）」へ正式に追加した。脆弱性名は「Google Chromium V8 Type Confusion Vulnerability」として登録されている。

CISAの運用指令「BOD 22-01」およびセキュリティ更新優先ガイドライン「BOD 26-04」の枠組みに基づき、関係組織に対する対応期限（Due Date）は「2026年9月18日」に設定された。

CISAが提示した必須対応事項（Required Action）によると、関係組織はベンダーが発行する手順に沿って緩和策を適用するとともに、CISAの「フォレンジック・トリアージ要件」およびBOD 26-04のガイダンスを遵守することが求められている。また、緩和策が利用できない場合は製品の使用を停止することや、管理対象の各資産におけるインターネット露出状況を個別に評価し、パッチ適用の指針に従う責任がある旨が明記されている。

タイムラインと関連情報

本脆弱性に関連する主な公開日時は以下の通り記録されている。

• 2026年9月3日：NVDによりCVE-2026-85046として登録・公開
• 2026年9月4日：NVDの登録情報が更新され、CISA-ADPによるCVSS評価およびCISA KEVカタログへの追加が反映

NVDの参照情報には、デスクトップ向け安定版チャンネルの更新を案内する「Chrome Releases」公式ブログのアナウンスや、Chromiumの課題追跡システム（Issue 542403045）、CISAのKEVカタログ一覧ページが含まれている。