JVN iPediaは2026年10月16日、Mozilla Thunderbirdの脆弱性「CVE-2026-103500」を掲載しました。2GB以上のメールを開くと、メモリーの処理に問題が起き、扱っている情報の一部の書き換えやソフトウェアの完全停止につながる恐れがあります。利用企業は、社内の端末が影響対象の版に当たるかを確認する必要があります。
2GB以上のメールを開く際に問題が起きる恐れ
脆弱性の種類は、NVDの評価で「境界外書き込み(CWE-787)」とされています。これは、確保したメモリーの範囲を超えてデータを書き込む問題です。JVN iPediaによると、2GB以上のメールを開いた際に、ヒープと呼ばれるメモリー領域でバッファオーバーフローが起きる恐れがあります。
深刻度の指標であるCVSS v3の基本値は、NVD評価で6.1、区分は「警告」です。攻撃元区分はローカルで、攻撃条件の複雑さは低いとされています。攻撃に特権は不要ですが、利用者の関与が必要です。
JVN iPediaが挙げる影響は、ソフトウェアが扱う情報の一部の書き換えと、ソフトウェアの完全停止です。想定される影響に、外部への情報漏えいはないとしています。今回の情報を、そのまま情報漏えいの発生や遠隔からのコード実行の告知として扱わないよう、社内への説明を分けることが大切です。
対象は3つの版の範囲、修正版も別々に確認
影響を受けるMozilla Thunderbirdの版は、次の3つの範囲です。
- 140.17.0未満
- 141.0以上、153.4.0未満
- 154.0以上、157.0未満
JVN iPediaは、修正版として157、140.17、153.4を挙げています。また、ベンダ情報を確認して適切な対策を取るよう求めています。
情シスが整理すべきなのは、Thunderbirdを使っているかどうかだけではありません。導入済みの版を上記の範囲と照合し、どの端末を更新するかまで切り分ける必要があります。修正版は複数あるため、すべての端末について一律に157だけを確認するのではなく、現在の版とベンダ情報を合わせて確認してください。
影響する会社・しない会社
- 影響する: Mozilla Thunderbird 140.17.0未満を業務端末で使っている会社です。利用端末を洗い出し、修正版との照合が必要です。
- 影響する: Mozilla Thunderbird 141.0以上153.4.0未満、または154.0以上157.0未満を使っている会社です。同じ社内でも導入版が異なる場合は、端末ごとに判定します。
- 影響しない: Mozilla Thunderbirdを利用していない会社は、今回示された製品の対象には当たりません。
- 影響しない: JVN iPediaが修正版として挙げる157、140.17、153.4を適用済みの端末は、今回の脆弱性について修正済みとして切り分けられます。他の脆弱性まで問題がないという意味ではありません。
情シスが今日やること
以下は社内対応の進め方です。まず利用状況を把握し、更新と確認の担当を決めます。
- 今日中に利用端末と版を集めます。 端末管理台帳やソフトウェアの導入一覧でMozilla Thunderbirdを探します。記録がない端末は、利用者に端末上のバージョン表示を確認してもらい、端末名・利用者・版を一覧にします。
- 集めた版を3つの対象範囲と照合します。 一覧を「更新対象」「修正版を確認済み」「未確認」に分けます。委託先が端末を管理している場合は、同じ情報の提出を依頼し、社内の確認期限を伝えます。
- 更新前にベンダ情報を確認します。 JVN iPediaに記載された157、140.17、153.4を手掛かりに、各端末に適用する修正版を確認します。更新担当者と社内の実施期限を決め、対象利用者へ作業予定を知らせます。
- 利用者への案内と更新後の記録を残します。 更新までの間は、2GB以上のメールを開く操作が今回の問題の条件であることを対象者に伝えます。更新後は端末上の版を再確認し、管理台帳に確認結果を記録します。
