Mozillaは2026年10月13日、メールソフトThunderbirdの脆弱性情報を公表しました。今回の資料では、Thunderbird 153.5とThunderbird 158でそれぞれ脆弱性が修正されています。両勧告の全体の影響度はhighで、業務で利用している会社は導入版と修正内容の照合が必要です。
修正版は153.5と158、メール閲覧だけで判断しない
Thunderbird 153.5の勧告には、更新機能で本来持たない権限を得る「権限昇格」の脆弱性CVE-2026-109704が含まれます。個別の影響度はhighです。ネットワーク機能には、解放済みのメモリーを使って処理の隔離領域から抜け出すCVE-2026-109707もあります。
企業向けポリシー機能では、危険を抑えるための対策を回避するCVE-2026-109737が修正されました。こちらの評価はmoderateです。勧告全体のhighという評価と、各脆弱性の評価は分けて確認してください。
Mozillaは、メール閲覧時にはスクリプトが無効なため、一般にメール経由では悪用されないと説明しています。一方、ブラウザーやそれに似た環境では悪用のリスクがあるとしています。この説明だけを根拠に、Thunderbirdの更新が不要と判断しないことが重要です。
日本での提供は発表には書かれていません。
Exchange連携の高負荷と、大容量メッセージの問題
153.5で修正されたCVE-2026-110249は、Exchangeメール機能のサービス拒否の脆弱性です。サービス拒否とは、処理に負荷をかけて利用を妨げる問題です。不正なExchangeサーバーのSOAP応答、つまりサーバーとの通信で受け取る応答によって、主スレッドに負荷がかかります。CPU負荷は数秒から数時間続く恐れがあり、Mozillaの評価はlowです。
158で修正されたCVE-2026-110247は、libmimeの整数オーバーフローの脆弱性です。バッファーを拡張する際の32ビット演算で、数値が扱える範囲を超えたかどうかの検査が欠けていました。大容量のメッセージによって、使用中のメモリー領域であるヒープが破損する恐れがあります。評価はmoderateです。
また、Mozillaは内部で発見したメモリー安全性の脆弱性を、単一のCVE番号にまとめず、個別に勧告する方式へ変更しました。修正内容を管理する際は、まとめた件数だけではなく、個別の勧告を確認する必要があります。
影響する会社・しない会社
- 影響する: Thunderbirdを業務で使う会社は、導入版と両勧告の照合が必要です。今回の資料で示されている修正版は153.5と158です。影響を受ける旧版の範囲やOS別の条件は、発表には書かれていません。
- 影響する: ThunderbirdのExchangeメール機能を使う会社は、CVE-2026-110249の確認対象です。評価はlowですが、数時間に及ぶCPU負荷という業務上の影響も確認してください。
- 影響しない: Thunderbirdを使っていない会社は、今回のThunderbird修正版を端末へ適用する対象ではありません。他のメールソフトの安全性を示す発表ではありません。
- 影響しない: Exchangeメール機能を使わない会社は、その機能に関する問題の確認対象から分けられます。ただし、更新機能などの別の脆弱性まで対象外になるわけではありません。
情シスが今日やること
以下は社内対応の進め方です。Mozillaが指定した更新期限ではありません。
- 今日中に、IT資産の管理画面やソフトウェア管理台帳でThunderbirdの利用端末を抽出します。端末名、利用者、導入版を記録してください。版が分からない端末は、利用者に現在の版が確認できる情報の提出を依頼します。
- 利用部門へ、Exchangeメール機能の使用有無を確認します。問い合わせ担当には、同機能でCPU負荷が数秒から数時間続く恐れがあることを共有し、端末名と発生状況を記録してもらいます。
- 更新担当者が153.5と158の勧告を照合し、各端末に適用する修正版を確認します。資料だけでは影響する旧版の範囲が分からないため、版の数字だけで対象外と判断せず、社内の更新予定と確認担当を決めます。
- 更新後は、端末ごとの実際の導入版を再確認します。台帳に確認結果と未更新の理由を残し、未更新端末の利用部門へ次の対応予定を知らせてください。
