JVN iPediaは2026年10月14日、Mozilla製品に関する脆弱性「CVE-2026-100762」を掲載しました。今回の資料には、FirefoxとThunderbirdに関する計4件の脆弱性情報があり、うち2件は深刻度が「緊急」です。FirefoxとThunderbirdは157で4件とも修正されていますが、Firefox ESRなどは脆弱性ごとに修正状況を確認する必要があります。
緊急の2件は、悪用される条件が異なります
CVE-2026-100762は、DOMのコンテントプロセスで、解放済みのメモリを使ってしまう問題です。DOMはページの構造を扱う仕組みです。JVNによると、処理を隔離するサンドボックスを回避される恐れがあります。
深刻度の指標であるCVSS v3の基本値は9.6で、区分は「緊急」です。ただし、悪用には利用者の関与が必要とされています。どのような操作が必要かは、今回の資料には書かれていません。
もう1件のCVE-2026-100763は、WebGPUの境界条件の不備によるバッファエラーです。WebGPUは、ブラウザーなどから画像処理用の計算機能を使う仕組みです。情報漏えいやソフトの停止につながる恐れがあり、利用者の関与なしで悪用され得ます。CVSS v3基本値は9.1で、こちらも「緊急」です。
残るCVE-2026-100761とCVE-2026-100764もWebGPUに関する問題です。前者は解放済みメモリの使用、後者は境界条件の不備によるバッファエラーで、いずれも権限昇格につながるとされています。基本値はともに8.8の「重要」です。
影響範囲と、系列別の修正版を分けて確認します
4件とも、Firefox 157とThunderbird 157で修正されています。CVE-2026-100761、CVE-2026-100763、CVE-2026-100764の影響範囲は、Firefox 157.0.0未満、Thunderbird 157.0未満と記載されています。
CVE-2026-100762には、ほかの修正版もあります。Firefox ESRでは115.42、140.17、153.4、Thunderbirdでは140.17、153.4でも修正済みです。ESRは長期サポート向けの系列です。
ここで区別したいのは、製品の影響範囲と、各系列での詳しい扱いです。他の3件にも影響範囲の記載はあります。一方、CVE-2026-100762に示されたESRなどの修正版一覧を、そのまま他の3件の修正状況として使うことはできません。
157以外の系列を使う会社は、記載された影響範囲を確認したうえで、ESRなど各系列での詳しい扱いをベンダ情報で照合してください。JVNも、ベンダ情報の確認と適切な対策を求めています。
影響する会社・しない会社
- 影響する: Firefox 157.0.0未満、またはThunderbird 157.0未満を使う会社は、CVE-2026-100761、CVE-2026-100763、CVE-2026-100764の記載上の対象です。
- 影響する: Firefox ESRやThunderbirdの別系列を使う会社も、CVE-2026-100762の修正版との照合が必要です。他の3件の影響範囲は、Firefox 157.0.0未満、Thunderbird 157.0未満と記載されています。ESRなど各系列での詳しい扱いは、ベンダ情報を確認してください。
- 影響しない: Firefox 157、Thunderbird 157を使う端末では、今回取り上げた4件は修正済みです。これは、他の脆弱性がないことまで示すものではありません。
- 影響しない: Firefox ESR 115.42、140.17、153.4とThunderbird 140.17、153.4では、CVE-2026-100762は修正済みです。この情報だけで、他の3件も対象外とは判断しないでください。
情シスが今日やること
以下は、社内対応の進め方です。発表に定められた更新期限ではありません。
- 今日中に、利用中の端末管理ツールのインストール済みソフト一覧、または社内の資産台帳で、Firefox、Firefox ESR、Thunderbirdを検索します。製品名、版番号、利用者、管理担当を対応付けて一覧にしてください。資料には特定の管理画面の操作手順はありません。
- 4件それぞれの影響範囲と修正版を照合します。FirefoxとThunderbirdの157、CVE-2026-100762のESRなどの修正版を区別して記録してください。別系列の詳しい扱いはベンダ情報で確認し、判断できない端末は「対象外」ではなく「確認待ち」にします。
- 今日中に、対象端末の利用者とソフト配布担当へ、確認できた修正版と更新の依頼を伝えます。更新予定日を決められない端末は、理由と担当者を記録し、管理責任者へ共有してください。
- 更新後は、端末上の実際の版番号を再確認し、台帳へ反映します。配布の完了だけで対応済みとせず、確認待ちの端末を残した一覧で進捗を管理してください。
