Android 版 Chrome の WebGL に境界外書き込み（CVE-2026-120931）: CVSS 9.6、156.0.8078.47 より前で細工した HTML からサンドボックス外のコード実行

Android 版 Google Chrome の WebGL に、境界外書き込み（CWE-787）の欠陥（CVE-2026-120931）があることが、2026-11-03 に NVD に登録されました。156.0.8078.47 より前の版が対象です。NVD の説明によると、リモートの攻撃者が細工した HTML ページを使い、ブラウザのサンドボックスの外で任意のコードを実行できるとされます。Chromium 側の深刻度は Critical です。

何が起きるか

• WebGL（ブラウザで 3D 描画をする仕組み）の処理で、確保した範囲の外にデータを書き込めてしまう。
• 攻撃者は、細工した HTML ページを用意する。利用者がそのページを開くと、サンドボックス（ブラウザ内の隔離）の外でコードが動くとされる。
• 対象は Android 版 Chrome のみと記載されています。デスクトップ版への影響は NVD の説明に書かれていません。

数値と severity

• CVSS v3.1 は 9.6（CRITICAL）。ベクターは AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H で、ネットワークから、認証なし、利用者がページを開く操作は必要、影響範囲が変わる（S:C）ことを示します。評価元は Chrome で、NVD 上は Secondary です。
• NVD の状態は Awaiting Analysis（2026-11-04 時点）で、NVD 自身の評価はまだありません。
• 認証が不要で CVSS が 9 以上のため、severity は critical とします。ただし利用者がページを開く操作は必要です。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。CISA の SSVC では、悪用は none、自動化は no、技術的影響は total と記録されています（2026-11-03）。

対策

• Android 版 Chrome を 156.0.8078.47 以降に更新する。Google Play で自動更新を有効にしておく。
• 更新までは、見知らぬリンクや不審なページを開かない。
• 組織で端末を管理している場合は、Chrome の版が 156.0.8078.47 以降かを端末管理の画面で確認する。
• 修正版の配布状況の詳細は、Chrome Releases のブログ（NVD の参照先）で確認する。本稿では開いていません。

未確認の点

• 実際に悪用されているか、規模はどの程度か。
• 概念実証（PoC）が公開されているか。
• 修正版が全端末に配布済みか、Android の機種ごとの差があるか。
• 「サンドボックスの外」に至る詳しい条件（単独で成立するか、別の欠陥との組み合わせが要るか）。
• NVD の最終評価、EPSS。
• Chromium の課題ページと Chrome Releases のブログの中身（未開封）。

出典

• NVD: CVE-2026-120931
• Chrome Releases ブログ（NVD の参照先。未開封）
• Chromium issue 550607402（NVD の参照先。未開封）
• FIRST EPSS（CVE-2026-120931 はデータなし）