MozillaのAndroid版Firefoxに脆弱性、158.0.2未満は確認を

フランスのCERT-FRは2026年10月22日付で、MozillaのAndroid版Firefoxに関する脆弱性を告知しました。影響を受けるのは158.0.2より前のバージョンです。社内のAndroid端末でFirefoxを使っている場合は、導入済みの版を確認し、修正の入手方法を調べる必要があります。

対象はAndroid版Firefoxの158.0.2未満

今回の告知番号はCERTFR-2026-AVI-1361です。脆弱性には、問題を区別するための識別番号「CVE-2026-113470」が付いています。

対象として挙げられているのはAndroid版Firefoxで、影響範囲は158.0.2未満です。「Mozilla製品」という告知名だけで、社内のFirefoxをすべて同じ対象として扱わないことが大切です。まずは製品、利用する基本ソフト、バージョンを組み合わせて確認します。

CERT-FRの告知は、2026年10月21日付のMozillaのセキュリティ情報「mfsa2026-116」に基づいています。修正の入手についても、このMozillaの情報を参照するよう案内しています。更新の手配では、告知番号とMozillaの情報番号を一緒に記録しておくと、担当者間で確認する資料をそろえられます。

日本での提供は発表には書かれていません。日本向けの修正の入手方法についても、Mozillaのセキュリティ情報を確認する必要があります。

具体的なリスクは明示されていない

CERT-FRは、攻撃者がセキュリティ上の問題を引き起こす可能性があるとしています。一方、Mozillaは具体的なリスクを明示していないと説明しています。

この告知だけを根拠に、情報が盗まれる、端末を乗っ取られるといった被害を断定することはできません。社内通知でも、想定される被害を付け足すのではなく、対象製品と対象バージョン、確認してほしい事項を伝えるのが適切です。

リスクの詳細が分からないことと、対応が不要であることは別です。まず対象端末を洗い出し、修正情報の確認と更新の手配を進める、という順序で対応を整理します。

影響する会社・しない会社

• 影響する: Android版Firefoxの158.0.2未満を業務で使っている会社です。対象端末の版の確認と、修正の入手に向けた対応が必要です。
• 影響の確認が必要: Android版Firefoxを使っているものの、導入済みの版を把握できていない会社です。影響の有無を判断するため、まず端末ごとの確認が必要です。
• 影響しない: Android版Firefoxを利用していない会社は、今回示された対象には当たりません。ただし、ほかの製品に脆弱性がないことを示す告知ではありません。
• 影響しない: Android版Firefoxが158.0.2以上である端末は、今回示された「158.0.2未満」という影響範囲には含まれません。

情シスが今日やること

1. 端末管理担当が利用状況を調べます。 端末管理ツールを使っている場合は、Android端末のアプリ一覧とバージョン情報を確認します。画面名や操作手順は告知には書かれていません。管理情報で分からない端末は、利用者にFirefoxの版の報告を依頼します。
2. 158.0.2未満と、版が不明な端末を分けます。 今日の確認結果として、端末、利用者、確認できた版、対応担当者を記録することを勧めます。版が不明な端末を、確認済みとして処理しないようにします。
3. 更新を手配する前に、Mozillaのmfsa2026-116を確認します。 CERT-FRが案内する参照先で、修正の入手方法を確認します。告知には対応期限の記載がないため、社内で担当者と実施期限を決めます。
4. 対象利用者に依頼し、対応後の版を確認します。 利用者にはAndroid版Firefoxが対象であることと、社内で決めた期限を伝えます。作業完了の連絡だけでなく、対応後のバージョンを記録して、未対応端末を残さないよう管理します。