CVE詳細 - CVE-2026-3909-

CVE-2026-3909 の詳細

CVEの情報

説明:
Out of bounds write in Skia in Google Chrome prior to 146.0.7680.75 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High)

CVE更新日: 2026-03-13 19:55:11.170000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2026-03-13

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.023420000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2026-3909に関する調査結果を以下に解説します。

1. 脆弱性の概要

1.1 影響

Google ChromeのSkia（2Dグラフィックライブラリ）における境界外書き込みの脆弱性です。細工されたHTMLページをユーザーに閲覧させることで、遠隔の攻撃者が境界外メモリアクセスを実行する可能性があります。これにより、情報漏洩や遠隔での任意のコード実行につながるおそれがあります。本脆弱性は、すでに実際の攻撃で悪用が確認されているゼロデイ脆弱性です。

1.2 深刻度

Googleではこの脆弱性の深刻度を「高 (High)」と評価しています。共通脆弱性評価システム（CVSSv3.1）のベーススコアは8.8です。また、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の「悪用が確認された脆弱性カタログ（KEV）」にも追加されており、早急な対策が求められています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Google Chrome (デスクトップ版): Windows, macOS, Linux のバージョン 146.0.7680.75 より前が影響を受けます。
Google Chrome (モバイル版): Android のバージョン 146.0.76380.119 より前が影響を受けます。

2.2 影響を受ける設定

特定の「設定」に依存する記述は見当たりません。Webブラウザを使用する通常の環境において、細工されたHTMLページを処理することで脆弱性がトリガーされるため、Chromiumベースのブラウザ全般が影響を受ける可能性があります。

3. 影響を受けた時の兆候

細工されたHTMLページを閲覧することで、以下のような兆候が発生する可能性があります。 * 情報漏洩 * 遠隔での任意のコード実行 * ブラウザの強制終了

4. 推奨対策

4.1 本対策

Google Chromeのアップデート: 修正済みのバージョンに速やかにアップデートしてください。
- Windows, macOS, Linux: 146.0.7680.75 または 146.0.7680.76 以降
- Android: 146.0.76380.119 以降デスクトップ版のアップデートは、今後数日から数週間かけて順次展開されます。Chromeの設定から手動でアップデートすることも可能です。
Chromiumベースのブラウザのアップデート: Microsoft Edgeなど、Chromiumベースのブラウザを使用している場合も、各ベンダーからの修正パッチを適用することが重要です。Microsoft Edgeではバージョン146.0.3856.62で修正が含まれています。

4.2 暫定回避策（緩和策）

本脆弱性はすでに悪用が確認されており、Googleは悪用拡大を防ぐため詳細情報の公開を制限している場合があるため、更新の先延ばしはリスクを高めます。
ブラウザの自動更新を有効に設定することを推奨します。
ブラウザ隔離技術の導入も検討できます。

5. 他に解説すべき観点

本脆弱性 (CVE-2026-3909) は、Google ChromeのV8エンジンにおける不適切な実装の脆弱性であるCVE-2026-3910と同時に修正されました。これら2つの脆弱性は、攻撃者がV8の脆弱性を初期実行に、Skiaの脆弱性をサンドボックスエスケープに使用するなど、組み合わせて悪用された可能性が示唆されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る