10月31日にMicrosoft の更新ガイドへ並んだEdgeの脆弱性 50件は、会社のEdgeが10月29日公開の156.0.4314.56以降なら、すでに修正済みです。今回のために新しく配る修正版はありません。
Microsoftは10月31日（米国時間）、セキュリティ 更新プログラム ガイドに、Chromiumの脆弱性50件をEdgeの項目として載せました。日本時間では31日の23時です。49件はGoogle が10月27日にChrome で修正したもので、残る1件は9月のChrome 153で修正済みだった脆弱性でした。
ただ、会社のPCで照らす基準は、その次の版に置きたいところです。Edgeは翌30日に156.0.4314.58を出しましたが、この版で取り込んだ修正の一覧は、まだガイドにありません。
49件は10月29日の156.0.4314.56で修正
ガイドでは項目ごとに、その脆弱性を修正したEdgeの版が分かります。10月28日以降にEdgeの項目として載った番号を数えると、50件は次の2つに分かれました。1
区分
件数と深刻度
Edgeの修正版
もとのChromeの更新
10月27日のChromeの修正
49件（緊急4件、重要43件、警告2件）
156.0.4314.56（10月29日）
156.0.8078.73（10月27日、52件）
9月のChromeの修正
1件（CVE-2026-91732、警告）
153.0.4234.46（9月17日）
153.0.8010.47（9月15日、42件）
深刻度の付け方は、Chromeの発表と同じです。ChromeでCriticalだった4件はガイドでも緊急、Highは重要、Mediumは警告でした。緊急の4件はFileSystemとFileAPI、Skia、Layoutの脆弱性で、Chrome 156の記事 でも取り上げました。CVE-2026-118351〜118359の9件は、どれも重要です。2
悪用の記載は、Chromeの発表2本（10月27日と9月15日）のどちらにもありません。米CISAが10月30日に更新したKEVにも、50件は1つも入っていません。
一方で、Chromeが10月27日に修正した52件のうち3件は、11月1日15時の時点でガイドに見当たりません。UIの2件と、Coreの1件です。3
そもそも、なぜChromeの番号がMicrosoftのガイドに載るのでしょうか。ガイドのよくある質問によると、最新のEdgeでは「この脆弱性はもう存在しないことをお知らせするため」です。つまり、載った日はEdgeでは修正済みだと知らせた日で、脆弱性が見つかった日でも、修正版が出た日でもありません。
更新ガイドのCVE-2026-118359のページ。ChromeのCVEを載せる理由がよくある質問にある 出典: Microsoft「セキュリティ更新プログラム ガイド CVE-2026-118359」 (引用) 9月の1件は、修正から44日後に載った
CVE-2026-91732は、ChromeのAppManifestで認可の確認が抜けていた脆弱性です。Googleは9月15日のChrome 153で修正し、深刻度をMediumとしました。攻撃するには、先にレンダラーのプロセスを乗っ取ったうえで、利用者をだます操作も要ります。50件の中でいちばん軽い部類で、MicrosoftのCVSSも3.1でした。
Edgeでは9月17日の153.0.4234.46で修正されました。同じ日、ガイドはChrome 153の42件のうち41件を載せましたが、この1件だけが抜けていたのです。10月31日の掲載は、その44日後にあたります。
9月と10月の4回の更新を並べると、遅れはEdgeの修正版ではなく、ガイドへの掲載に出ます。
Chromeの安定版の更新
Edgeの修正版
ガイドに載った日（米国時間）
153.0.8010.47（9月15日、42件）
153.0.4234.46（9月17日）
9月17日に41件、10月31日に1件
156.0.8078.47（10月20日、353件）
156.0.4314.42（10月22日）
10月22日に353件
156.0.8078.73（10月27日、52件）
156.0.4314.56（10月29日）
10月31日に49件
156.0.8078.79（10月29日、21件）
156.0.4314.58（10月30日）とみられる
11月1日15時（日本時間）の時点で0件
Edgeの修正版はどの回もChromeの1〜2日後に出ました。でもガイドは修正版と同じ日に載せた回もあれば、2日後の回もあります。10月26日（米国時間）には、Edge 152〜155の版ですでに修正済みだったChromiumの番号を、87件まとめて初めて載せました。
だから、ガイドの新着を週ごとの「新しい脆弱性」として数えると、修正済みの分を何度も数え直すことになります。脆弱性の管理ツールが新着をどう扱うかは、製品しだいでしょう。照らす相手は掲載日ではなく、項目にある修正版と手元の版です。Chromiumの番号については、ガイドを「修正版の対応表」として読むのがいちばん迷わない、と編集部はみています。
リリースノートの更新は、さらに遅れています。セキュリティのリリースノートでは、29日と30日の欄が11月1日の時点でも「CVE's will be added as soon as available.」のままです。29日の欄は、ガイドに49件が載ったあとも変わっていません。リリースノートの欄に番号が並ぶのは、Edgeだけの脆弱性です。Chromiumの分はガイドを見るよう案内しているので、照らす相手はガイドです。
Edgeのセキュリティのリリースノート。29日と30日の欄に、CVEはあとで載せるという注記が残る 出典: Microsoft「Release notes for Microsoft Edge Security Updates」（Microsoft Learn） (引用) 影響を受けるのは156.0.4314.56より前のPC
今回の50件の影響は、Edgeが156.0.4314.56より前のまま残るPCに出ます。EdgeはWindowsに最初から入っているので、Chromeを標準にしている会社でも、多くのPCで動いているはずです。版ごとの状況は次のとおりです。
156.0.4314.42〜.50のPCには、49件が残ります。.42より前なら、Chrome 156の353件にあたる修正も入っていません。
156.0.4314.56のPCでは、49件は修正済みです。ただ、Chromeが10月29日に修正した21件にあたる分は、30日の.58に入ったとみられます。
156.0.4314.58以降のPCは、今回の50件の対象外です。
.58が21件の受け皿だという読みは、日程からの推測にすぎません。Microsoftは30日の欄に、Chromiumの最新のセキュリティ修正を取り込んだと書いただけで、どのCVEかはまだ示していないからです。ガイドにない3件も、Edgeにない部分だから載らないのか、あとで載るのかは分かりません。
社用のスマートフォンは少し事情が違います。セキュリティのリリースノートでは、Android版の記載は10月19日の155.0.4283.61が最後で、156の修正を取り込んだAndroid版はまだ載っていません。延長安定版と、Edge 156で変わった管理の設定は、Edge 156の記事 にまとめました。パスポートなどの自動入力といった利用者向けの新しい機能は、TECHNOVAの「Microsoft Edge 156公開 パスポートなどの自動入力、脆弱性353件を修正」 が紹介しています。
版の一覧で照らす手順
資産管理ツールやIntuneのアプリ一覧で、PCごとにEdgeの版を書き出します。156.0.4314.58より前の端末に印を付け、.56の端末と、それより前の端末を分けておきます。
脆弱性の管理ツールや更新ガイドのRSSで10月31日の50件が届いたら、端末の版で照らして閉じます。.56以降なら49件は対応済みで、CVE-2026-91732は153.0.4234.46以降なら対応済みです。
TargetVersionPrefixなどで版を固定している場合は、固定先を156.0.4314.58に上げます。Edgeは閉じて開き直すまで古い版のままなので、RelaunchNotificationなどのポリシーで再起動の期限も決めます。
社用のAndroidでEdgeを配っている会社は、端末管理でアプリの版を一覧にしておきます。156の版がリリースノートに載ったら、更新を案内します。
.58の欄にCVEが載ったら、Chromeが10月29日に修正した21件が入っているかを照らします。番号はCVE-2026-76024〜76031と、CVE-2026-119260〜119272です。
ガイドの新着に50件と並ぶと身構えますが、今回は手元の版を見れば片づく知らせでした。次に照らすのは、.58の欄に21件が載るかどうかです。
