Mozillaは2026年10月20日、Thunderbirdの脆弱性情報を公表しました。修正版のThunderbird 158.0.1では8件を修正し、今回の脆弱性情報全体の重要度を「high」としています。情シスは利用版の確認に加え、Exchangeアカウントの設定やチャット、認証方式ごとに影響を切り分ける必要があります。
パスワード漏えいとチャットのなりすましに対処
CVE-2026-113866は、Exchangeアカウントを設定する際に認証情報が漏れる問題です。接続先を自動検出するAutoDiscoverの暗号化されていないHTTP要求に、入力済みの認証情報が含まれていました。Mozillaによると、ネットワーク上の攻撃者にパスワードを取得される恐れがあります。
CVE-2026-113867は、XMPPという通信方式を使うチャットの問題です。細工した要求によって、利用者になりすましたメッセージを送信できました。利用者が操作しなくても、連絡先や購読設定を変更される恐れもあります。この脆弱性の影響は、XMPPアカウントのチャット機能に限られます。
CVE-2026-113868は、メール受信・送信に使うPOP3・SMTPのNTLM認証処理にある問題です。不正なサーバー応答によって、未初期化メモリーの内容が漏れたり、アプリが異常終了したりする可能性があります。対象はNTLMまたはGSSAPI認証のアカウントで、メモリー漏えいが起こり得るのはNTLMの場合です。
暗号化メールや証明書の扱いも修正
暗号化メールに使うS/MIMEの復号処理では、解放済みのメモリーを使う問題を修正しました。CVE-2026-113869として公表されており、セキュリティデバイスのパスワード入力待ちに、悪用可能なクラッシュが起こる恐れがあります。
このほか、SVGの境界条件の不備で重要度「high」のCVE-2026-113399、音声・映像の処理に使うcubebの未初期化メモリーの問題であるCVE-2026-113400、PDFビューアーのサービス拒否の問題で重要度「low」のCVE-2026-113401を修正しました。
CVE-2026-113470への対処として、証明書を遮断するOneCRLの更新済みブロックリストも同梱しています。Mozillaは2026年10月17日に、侵害されたeMudhra中間証明書をOneCRLで遮断しました。今回の更新により、RemoteSettingsが無効、または利用できない場合でも、その証明書を遮断できます。
日本での提供は発表には書かれていません。また、影響を受ける旧版の範囲や、具体的な確認画面・更新操作の手順は、今回の資料には書かれていません。
影響する会社・しない会社
- 影響する: ThunderbirdでExchangeアカウントを設定する会社です。設定時の認証情報の扱いが確認対象になります。
- 影響する: ThunderbirdのXMPPチャットを使う会社や、NTLM・GSSAPI認証のアカウントを使う会社です。チャット利用とメール認証を分けて確認する必要があります。
- 影響する: ThunderbirdでS/MIMEによる暗号化メールを扱う会社です。復号時の問題が今回の修正に含まれます。
- 影響しない: XMPPアカウントのチャット機能を使わない会社は、CVE-2026-113867の影響対象ではありません。ただし、ほかの修正まで無関係とは判断できません。
- 影響しない: NTLM・GSSAPI認証のアカウントを使わない会社は、CVE-2026-113868で示された対象条件には当たりません。今回の8件すべてが影響しない条件は、発表には書かれていません。
情シスが今日やること
以下は社内対応の進め方の提案です。Mozillaが指定した更新期限ではありません。
- 今日中に、端末管理のソフトウェア一覧やIT資産台帳でThunderbirdの導入端末と版を抽出します。版が記録されていない端末は、利用者か端末管理担当に実機確認を依頼します。修正版として示された158.0.1と照合してください。
- メール管理担当に、Exchange、XMPP、S/MIMEの利用有無と、NTLM・GSSAPI認証の設定有無を確認します。台帳に情報がなければ、設定記録と実際のアカウント設定を突き合わせ、端末ごとに整理します。
- 更新作業に入る前に、端末管理担当と対象部署へ、対象端末、更新担当、実施予定日を共有します。Exchange設定時のパスワード漏えいとXMPPのなりすましは、異なる条件の問題として伝えてください。
- 更新後は各端末の版を再確認し、作業記録に残します。未更新端末は担当者と次回対応日を決めて一覧にし、認証方式などの確認漏れがないかも併せて点検します。
