Mozillaは2026年10月13日、ウェブブラウザー「Firefox 158」を公開し、77件の脆弱性を修正した。あわせて延長サポート版（ESR）も更新し、Firefox ESR 153.5.0およびESR 115.43.0を提供した。
事案の詳細
今回公開されたFirefox 158では、77件のセキュリティ脆弱性が修正された。内訳は、深刻度「High」が30件、「Moderate」が33件、「Low」が14件。修正対象には、解放後使用（Use-after-free）などのメモリ安全性に関する問題が24件含まれており、8件はブラウザーのサンドボックスを脱出できる可能性があった。
77件のうち37件は外部の研究者から報告された。OpenAIのAmy Burnett氏からは9件の報告が寄せられている。脆弱性の内容には、悪意あるコード実行、サンドボックス脱出、権限昇格、情報漏えい、境界チェック不備、競合状態、JITコンパイルの誤処理、整数オーバーフローなどが含まれる。
対象は通常版のFirefoxだけではない。Firefox ESR 153.5.0では61件、Firefox ESR 115.43.0では17件の修正が行われた。ESR 115.43.0はWindows 7・8.1およびmacOS 10.12から10.14向けに提供され、これらの旧OS向けサポートは2027年3月まで継続される予定である。
現時点で、今回の脆弱性を悪用した攻撃や被害が発生したとの情報は確認されていない。ただし、複数の脆弱性が悪意あるコード実行やサンドボックス脱出につながる可能性があるため、Mozillaは利用者に更新を適用するよう求めている。
影響と背景
ブラウザーは業務・私用を問わず日常的に利用されるソフトウェアであり、脆弱性の修正は利用者の環境全体の安全性に関わる。今回の更新では、深刻度の高い脆弱性やメモリ安全性に関する問題がまとまって修正されており、Firefoxを利用する端末では早期の適用が推奨される。
特にサンドボックス脱出や悪意あるコード実行につながる可能性のある問題は、ウェブページの閲覧を起点として端末や組織内ネットワークへの影響を拡大させるおそれがある。Firefox ESRを採用している組織も、利用中のESR系列に対応した更新を確認する必要がある。
対策・今後の展望
- Firefoxを最新版へ更新：通常版を利用している場合はFirefox 158へ更新し、77件の脆弱性修正を取り込む。
- ESR利用環境も更新：Firefox ESR 153を利用している組織はESR 153.5.0へ、旧OS向けのESR 115を利用している環境はESR 115.43.0へ更新する。
- 更新の運用を定着：端末ごとに更新状況がばらつかないよう、更新確認の手順や担当を決め、継続的な適用を行う。
- 脆弱性悪用の兆候を確認：更新までの間は、不審なウェブサイトや添付ファイルへのアクセスを避け、EDRやプロキシなどのログで異常なブラウザー動作がないか確認する。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIのセキュリティ診断では、ブラウザーの更新が端末ごとに止まっている状態が多く見られます。特にESR採用企業でも、更新適用の担当や手順が曖昧で、古い版が残り続けるケースが珍しくありません。
【観点②：平易な解説】例えるなら、ブラウザーは毎日使う「玄関の鍵」のようなものです。つまり、脆弱性の修正を入れないまま使い続けると、鍵の欠陥を知っている人に狙われやすい状態が続く、ということです。
【観点③：今週中にできること】まず社内でFirefoxを使っている端末があるかを確認し、バージョンが最新か担当者に点検してもらってください。次にESR 153.5.0またはESR 115.43.0の対象環境を整理し、更新を適用する日を決めて周知します。最後に、更新結果を簡単な一覧で残す運用にします。