つみかさね

CVE-2026-92018

Critical(9.6)

Firefox / Thunderbirdのサンドボックス脱出 CVE-2026-92018：影響範囲と対応方法

公開日: 2026-09-21データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
FirefoxMozilla< 156
Firefox ESRMozilla< 140.16 (115.41 / 153.3 系含む)
ThunderbirdMozilla< 156 (140.16 / 153.3 系含む)

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1Firefox / Thunderbird の導入バージョンを確認する
  2. 2Firefox 156 / ESR 140.16系、Thunderbird 対応版以降へアップデートする
  3. 3企業配布でバージョン固定している場合は配布パッケージを更新する

影響対象

Firefox / Thunderbird 利用者・配布管理者

対応不要な人

  • ✓Firefox / Thunderbird を利用していない
  • ✓修正版へ更新済み

補足

  • -自動更新が有効な場合は順次適用されます
CVEFirefoxThunderbirdサンドボックス脱出

30秒で判断

  • 対応すべき人: Firefox または Thunderbird を利用している（企業配布・キッティングでバージョン固定している環境を含む）
  • 対応不要な人: Firefox / Thunderbird を利用していない、すでに修正版へ更新済み
  • 確認コマンド: Firefoxの「ヘルプ > Firefox について」、またはパッケージ管理で導入バージョンを確認

概要

本脆弱性は、Firefox / Thunderbird の DOM: Core & HTML コンポーネントにおけるサンドボックス脱出です。悪意あるWebコンテンツを表示させることで、本来分離されているコンテンツプロセスの境界を越えられる可能性があります。サンドボックス脱出は単体でただちに任意コード実行となるわけではありませんが、他の脆弱性と組み合わせることで影響が拡大するため、深刻度はCriticalと評価されています。

本日のMozillaアドバイザリでは、このほかにもJITエンジン、HTMLパーサ、SVG、XML、アクセシビリティAPIなど複数コンポーネントに解放後使用（CVE-2026-92016 ほか、CVSS 8.8）が公開されています。ブラウザ・メールクライアントはインターネットに直接触れるため、早めの更新を推奨します。

CVSSベクトル

項目値
CVSSスコア9.6（CRITICAL）
CWECWE-693（保護メカニズムの不備）
攻撃の起点悪意あるWebコンテンツの表示

影響を受けるソフトウェア

製品ベンダーバージョン
FirefoxMozilla156 より前
Firefox ESRMozilla115.41 / 140.16 / 153.3 より前
ThunderbirdMozilla156 / 140.16 / 153.3 より前

修正バージョンと回避策

Firefox 156、Firefox ESR 115.41 / 140.16 / 153.3、Thunderbird 156 / 140.16 / 153.3 以降へアップデートしてください。自動更新が有効であれば順次適用されますが、企業でバージョンを固定している場合は配布パッケージの更新を確認してください。

関連リンク

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-92016Firefox アクセシビリティAPIの解放後使用CVSS 8.8

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-92018
MFSA:https://www.mozilla.org/security/advisories/mfsa2026-90/
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。