30秒で判断
- 対応すべき人: Firefox / Firefox ESR / Thunderbird を利用しているすべてのユーザー
- 対応不要な人: これらを使用していない、すでに修正版（Firefox 154 / ESR 140.14 / ESR 153.1 など）へ更新済みの環境
- 確認方法: 「ヘルプ > Firefox について」等でバージョンを確認。組織配布なら管理下のバージョンを点検
概要
Mozilla Firefox / Thunderbird の複数コンポーネントに、解放後利用（Use-After-Free、CWE-416） の脆弱性が公開されました。本 CVE-2026-74936 は JavaScript の WebAssembly コンポーネントで発生します。
解放済みメモリを参照する UAF は、細工されたコンテンツ（Web ページやメール）を閲覧するだけでリモートコード実行につながり得ます。日常的に使うブラウザ・メールクライアントであり、影響範囲が非常に広い案件です。
同時に、Graphics: Text（CVE-2026-74940）、Graphics: ImageLib（CVE-2026-74943）、DOM: Core & HTML（CVE-2026-74944）でも各 CVSS 9.8 の UAF が修正されています。いずれも同じ更新で対応可能です。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | Required（コンテンツ閲覧） |
| Impact | リモートコード実行の可能性 |
| CVSS | 9.8（Critical、CWE-416） |
影響を受けるソフトウェア
| 製品 | 修正バージョン |
|---|---|
| Firefox | 154 |
| Firefox ESR | 140.14 / 153.1（Text/ImageLib は 115.39 も） |
| Thunderbird | 154 / 140.14 / 153.1 |
修正バージョンと回避策
- 修正バージョン: Firefox 154、Firefox ESR 140.14 / 153.1、Thunderbird 154 / 140.14 / 153.1 以降
- 自動更新が有効なら再起動で適用されます。組織配布環境では配信バージョンを更新してください。
関連リンク
データソース: NVD (NIST), Mozilla Security Advisories AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。