Mozillaは2026年10月13日、Firefox 158の脆弱性修正情報を公開しました。同日にはFirefox ESR 153.5とFirefox ESR 115.43の修正情報も公開し、重要度はいずれも「high」と評価しています。Firefox 158には企業向けの管理機能に関わる修正も含まれるため、情シスは通常版とESRを分けて、社内端末の更新状況を確認する必要があります。
企業向けポリシーや通信処理などを修正
Firefox 158の修正対象には、企業向けポリシー機能の緩和策を回避する脆弱性が含まれます。脆弱性の識別番号はCVE-2026-109737、CVE-2026-109764、CVE-2026-109766です。ブラウザーに管理用の設定を適用している会社でも、設定の点検だけでなく、修正版への更新を確認することが重要です。
また、処理を制限された領域の外に出る「サンドボックス脱出」に関わる修正もあります。通信処理の解放済みメモリー使用によるCVE-2026-109707、通信処理の境界条件不備によるCVE-2026-109708、描画処理の未初期化メモリーによるCVE-2026-109712が挙げられています。
このほか、本来認められていない権限を得る「権限昇格」が、アプリ更新機能やWebExtensionsで修正されています。プロセス隔離機能の情報漏えい・権限昇格、PDF閲覧機能の情報漏えいも修正対象です。管理機能だけ、あるいはPDF閲覧だけの問題として扱わず、Firefoxの利用端末を起点に確認を進めてください。
ESRも修正情報を公開、勧告の出し方も変更
Firefox ESR 153.5とFirefox ESR 115.43についても修正情報が公開されました。両方とも重要度は「high」です。各資料にはCVE番号ごとの修正内容が記載されています。系統によって掲載されている脆弱性が異なるため、利用している系統の勧告を確認してください。
Mozillaは、内部で発見したメモリー安全性の脆弱性を単一のCVEにまとめる方式も廃止しました。現在は不具合ごとに個別のセキュリティ勧告を出す方式に変更しています。社内の脆弱性管理では、勧告を記録する単位が変わった点にも目を向ける必要があります。
日本での提供は発表には書かれていません。今回の資料には、日本向けの提供時期や日本語対応についても記載がありません。
影響する会社・しない会社
- 影響する: Firefoxの通常版を利用している会社です。Firefox 158の修正情報と端末の版を照合する必要があります。ただし、影響を受ける版の範囲は今回の事実一覧には書かれていません。
- 影響する: Firefox ESRを利用している会社です。153.5と115.43の修正情報を、社内で利用する系統に分けて確認してください。
- 影響する: Firefoxの企業向けポリシー機能を使っている会社です。Firefox 158には緩和策回避の修正が含まれますが、対象となる具体的な設定条件は今回の事実一覧には書かれていません。
- 影響しない: FirefoxもFirefox ESRも利用していない会社は、今回のFirefox更新作業の対象外です。ただし、利用部門が独自に導入していないかは、社内の端末情報で確認してください。
情シスが今日やること
- 端末管理の担当者にFirefoxの導入状況を確認します。自社の端末管理画面や資産台帳で、ソフトウェア名と版を確認できる項目を探し、通常版とESRを分けて一覧にします。具体的な管理画面の名称や操作経路は、今回の資料には書かれていません。
- 一覧をMozillaの各修正情報と照合します。通常版はFirefox 158、ESRは153.5と115.43の情報をそれぞれ確認します。CVE番号と修正内容を系統ごとに確認し、別の系統の情報だけで対象外と判断しないでください。
- 端末管理担当者と利用部門の窓口に、更新する系統と確認対象の端末を知らせます。企業向けポリシーを使う端末については、管理設定があることだけを理由に更新確認を省略しないよう伝えます。2026年10月13日のうちに担当者と社内の更新期限を決めることを勧めます。Mozillaによる更新期限は今回の事実一覧には書かれていません。
- 更新後は端末の版を再確認し、完了端末と未完了端末を記録します。脆弱性管理の記録担当者には、Mozillaが不具合ごとの個別勧告へ方式を変更したことも共有し、勧告と更新記録を対応づけて残します。
