Firefoxの脆弱性を計168件修正、159.0.1へ更新を

やること

Firefox を 159.0.1 へ更新してください。企業向けの ESR 版は 153.6 または 115.44 です。

メールソフトの Thunderbird も10月27日に 159 と 153.6 が出ています。使っている場合は更新してください。

何が危ないのか

Mozilla は10月27日に公報 MFSA 2026-118 で Firefox 159 の修正を公表しました。修正は167件で、Mozilla の評価の内訳は High が108件、Moderate が52件、Low が7件です。

件数が多いのは、公表の方法が変わったためです。公報の注記によると、Mozilla は社内で見つけたメモリの安全性に関する欠陥を、1つの CVE にまとめず、バグごとに公報へ載せるようになりました。そのため、前の版と件数をそのまま比べても、危険の大きさの違いは分かりません。

High の多くは解放済みのメモリを使う欠陥です。サンドボックス（ブラウザの保護）の回避や、同一生成元ポリシー（サイトの間の壁）の回避、権限の昇格も含まれます。細工したページを開くだけで保護が破られるおそれがあるため、利用者がページを見る操作が入口になります。報告者は Mozilla の社内が多く、外部では OpenAI の Codex Security など複数の名前が載っています。

ESR 153.6 の公報 MFSA 2026-120 には145件が載っていて、High が95件、Moderate が44件、Low が6件です。同じ日に出た MFSA 2026-119 は ESR 115.44 の公報です。

11月3日の公報 MFSA 2026-123 では、CVE-2026-120572 が直りました。画面の配置を計算する Layout の処理にある、境界条件の不備による欠陥で、評価は High です。公報にそれ以上の技術的な説明はなく、報告者は Mozilla です。

Mozilla の公報に悪用が確認されたという記載はなく、CVSS の値も載っていません。

対象

上の表のバージョンより前が対象です。10月27日には、Firefox 159（MFSA 2026-118）、ESR 115.44（MFSA 2026-119）、ESR 153.6（MFSA 2026-120）、Thunderbird 159（MFSA 2026-121）、Thunderbird 153.6（MFSA 2026-122）の公報がそろって出ています。Firefox for iOS と Firefox for Android の更新は、これらより前の番号の別の公報です。

中小企業が確かめること

Firefox は更新を確認してもブラウザを再起動するまで古い版のままです。ESR を配っている職場では、153 系を使う端末と 115 系を使う端末が混ざっていないかを、配布ツールの一覧で見てください。Thunderbird は Firefox と別に更新されるので、メール専用の端末も対象に入れてください。