Firefox・Thunderbirdの緊急点検：証明書ブロックとメール認証の修正

Mozillaは10月20日にデスクトップ製品とESR向け、21日にFirefox for Android向けの勧告を公開しました。ESRは組織などが長めの周期で運用する系列です。通常系列と版番号が異なるため、単純な数字の大小で比較せず、使う系列の修正版を確認します。

表は今回の修正版で、全製品が同じCVE集合を修正したという意味ではありません。各勧告の総合影響評価はhighです。CVSSの独自換算はしていません。OS配布パッケージの場合は、配布元の修正と完全なパッケージ版も照合します。

CVE-2026-113470についてMozillaは、侵害されたeMudhra中間証明書を10月17日にOneCRLでブロックし、同日にRemoteSettings経由で配信したと説明しています。今回のアプリ更新にはそのブロック一覧も含まれます。組織ポリシーでRemoteSettingsを無効にしていたり、ネットワークから取得できなかったりする環境にも反映するためです。

証明書は、接続相手を信頼する判断に使われます。問題のある証明書を信用しないための一覧の配信と、アプリ本体の更新は別の経路です。「自動で配られたはず」と推測せず、管理方針と更新状態を確認します。これは公式に確認された証明書の侵害に関する説明であり、読者のPCが侵害された証拠ではありません。

これらはThunderbird 158.0.1の勧告と153.5.1の勧告で確認できます。メール本文のスクリプトが無効であることを、アカウント設定や認証処理も安全という根拠に広げないでください。

Firefox 158.0.1は、証明書の問題に加えSVG境界条件のCVE-2026-113399、音声処理の未初期化メモリのCVE-2026-113400、PDF Viewerのサービス不能のCVE-2026-113401も修正しています。これらをESRやAndroidの今回の告知件数へ機械的に加算しません。証明書問題を除く各CVEの実悪用の有無は、今回参照した資料だけでは確定できていません。

1. 1FirefoxとThunderbirdを別々に台帳へ登録し、通常版／ESR／Android、配布元、実行中の版を確認する。
2. 2公式の更新経路で更新し、必要な再起動後に実行版を再確認する。管理端末は管理者の手順に従う。
3. 3管理者はRemoteSettingsの方針と到達性、未更新端末、更新エラーを点検する。ブロック一覧を受け取ったと推測だけで記録しない。
4. 4ThunderbirdはExchange初期設定・XMPP・NTLM／GSSAPI・S/MIMEの使用有無を確認する。通常の送受信と認証の回帰試験を行う。
5. 5更新前のExchange設定時に認証情報が露出した疑いがあれば、更新だけで調査を閉じず、証拠を保全し、管理者が認証情報変更やセッション失効の要否を判断する。

メール利用者にパスワードをLLMへ貼り付けさせないでください。また、証明書エラーを消す目的で検証を無効にすることや、根拠なくメールの暗号化設定を弱めることは対策になりません。暫定的に問題のある機能を使わない判断をしても、更新を不要にする万能策ではありません。

以下は編集部が作成した棚卸し用の指示文です。LLMの回答は安全性の保証にはなりません。未確認項目を残し、担当者が公式資料と実際の稼働状態を照合してください。

点検指示文をダウンロード。基本の進め方は脆弱性のトリアージも参照してください。

確認日：2026年10月22日。公開された一次資料を確認した解説であり、編集部がこの脆弱性の攻撃やパッチ適用を実環境で再現したものではありません。手順のうち優先順位・台帳・回帰確認は編集上の提案です。