JVN iPediaは2026年10月20日、FirefoxやThunderbirdに関係する脆弱性「CVE-2026-100788」を掲載しました。今回取り上げる脆弱性は計4件で、このうち同脆弱性の深刻度は「緊急」です。情シスは、社内で使う製品と版を確認し、それぞれの対象版・修正版と照合する必要があります。
緊急の1件は利用者の操作がなくても攻撃可能
CVE-2026-100788は、WebAssemblyの不正なポインターに関する脆弱性です。JVNによると、深刻度を数値で示すCVSS v3基本値は9.8で、「緊急」に分類されています。攻撃には特権も利用者の関与も不要とされています。
想定される影響は、ソフトが扱う全情報の漏えい・改ざんや、ソフトの完全な停止です。これは脆弱性によって起こり得る影響であり、実際の被害発生を示すものではありません。
ほかの3件は、いずれも使用を終えて解放したメモリを再び使ってしまう問題です。CVE-2026-100789はCanvas2D、CVE-2026-100790はXSLT、CVE-2026-100791はCore・HTMLのDOMに関するものです。3件ともCVSS v3基本値は8.8の「重要」で、攻撃には利用者の関与が必要とされています。
修正版は脆弱性と製品ごとに照合する
CVE-2026-100788について、資料に示された修正版は次のとおりです。これらの版では、ほかの3件も修正されています。
- Firefox 157
- Firefox ESR 153.4、Firefox ESR 140.17
- Thunderbird 157、Thunderbird 153.4、Thunderbird 140.17
4件とも修正版が列挙されていますが、Firefox ESR 115.42が修正版に含まれるのは、CVE-2026-100789、CVE-2026-100790、CVE-2026-100791の3件です。この情報をもって、Firefox ESR 115.42で緊急のCVE-2026-100788も修正されるとは判断できません。
更新の完了を記録する際は、「Firefoxを更新した」という記録だけにせず、脆弱性の識別番号、製品名、適用した版を対応付けます。特にFirefox ESRは、利用中の版の系統を区別して確認することが重要です。
影響する会社・しない会社
- 影響する: FirefoxやThunderbirdの対象版を使う会社です。影響する版の範囲は、各資料の「影響を受けるシステム」に記載されています。利用中の製品・版と照合してください。
- 影響する: Firefox ESRを使う会社は、系統ごとの確認が必要です。特に115系統では、115.42で修正される3件と、緊急の1件を分けて扱います。
- 影響しない: CVE-2026-100788の修正版として上で列挙した各版を適用済みの環境では、今回の4件はいずれも修正済みです。
- 影響しない: Firefox ESR 115.42では、CVE-2026-100789、CVE-2026-100790、CVE-2026-100791は修正済みです。CVE-2026-100788の修正確認とは分けて管理します。
情シスが今日やること
以下は社内対応の進め方です。資料に一律の更新期限が示されているわけではありません。
- 今日中に、IT資産台帳やソフト配布に使っている管理画面の導入ソフト一覧で、Firefox、Firefox ESR、Thunderbirdの導入端末と版を抽出します。確認できない端末は「未確認」として残し、導入なしと混同しないようにします。
- 抽出した一覧に、4件それぞれの対象版・修正版を反映します。Firefox ESR 115系統は別にまとめ、115.42で修正される3件の情報を、緊急の1件の修正確認に流用しないようにします。
- 更新を配布する前に、担当者がJVN iPediaの各識別番号と製品側の修正情報を照合します。追加で確認が必要な点があれば、ベンダ情報で確かめます。
- 今日中に対象部門と端末の管理担当者へ、確認対象の製品、更新予定、完了報告の方法を知らせます。更新後は端末側の版と管理記録を照合し、未確認・未更新の端末を分けて追跡します。
