CVE-2026-118337 (CVSS 9.3): Google Chrome 156.0.8078.73 より前のバージョンのフォーム機能における不適切なアクセス制御により、リモート攻撃者がウェブオリジンをバイパスすることが可能

OffSeq Threat Radarは、この脆弱性が2026年10月27日に公開された[1]と報告している。また、CVE番号付与機関であるChromeがこれを「高」[1]と評価し、パッチが「利用可能 – 156.0.8078.73で修正」[1]されたと述べている。10月27日の時点で、OffSeqは当該脆弱性が「NVDによってまだスコアされていない」[1]と述べ、Strixは「NVD分析待機中」[3]と述べている。VulDBはこれに独自のベーススコア6.3を付与している[4]。VulDBによると、「悪用は容易であることが知られている。攻撃はリモートから実行される可能性がある。悪用には認証の形式は必要ない。正常な悪用にはユーザーの相互作用が必要である。」[4]VulDBの拡張分析では、この問題は「Chromeがユーザー入力を処理し、異なるドメインまたはオリジン間でフォームを送信する方法に関連している可能性が高い」[5]と述べている。OffSeqは当該脆弱性が「CISA KEVに含まれておらず、ソースから悪用の報告がない」[1]と報告している。VulDBも同様に「悪用ツールは入手不可である」[4]と述べている。Ubuntuのセキュリティトラッカーはこの脆弱性をリストアップし、Google Chrome Releases の安定チャネル更新[6]へのリンクを提供している。Strixは CVE-2026-118337 を複数のChrome 156修正の1つとして特定しており、その中にはImageCapture およびAnimation の悪用後解放バグ[3]が含まれている。OffSeqはユーザーに「Google Chromeを156.0.8078.73にアップグレードしてください」[1]