Mozillaは10月13日、個別に公表された77件のセキュリティ脆弱性を修正したFirefox 158をリリースした。このうち30件が深刻度「高」、33件が「中」、14件が「低」と評価されている。
深刻度が高い項目には、Webページのコードを閉じ込めておくためのシステムに存在する欠陥が含まれる。具体的には、プロセスサンドボックス、サイト分離、権限制御だ。これらに加え、JavaScriptエンジン、JITコンパイラ、グラフィックスコードなど、ブラウザーの各種コンポーネントに影響するメモリ安全性のバグもある。
Mozillaは、内部で特定したメモリ安全性のバグの報告方法も変更した。従来のように1件のCVEにまとめるのではなく、脆弱性ごとに個別の項目として公表する方式に切り替えたと、Mozillaのセキュリティアドバイザリーは説明している。このため、公表された脆弱性の件数を以前のリリースと直接比較するのは難しくなった。
Firefox 158には、アドバイザリーで説明されている修正が含まれる。Mozillaは、一覧にある脆弱性のいずれについても、現在悪用されているとは特定していない。ただし、未公表の悪用を否定するものではない。
Firefox 158のセキュリティアップデートの対象範囲
77件の脆弱性は、ネットワーク、プロセスサンドボックス、JavaScriptエンジン、グラフィックス、DOM、ストレージ、クラッシュレポート、アプリケーション更新など、数多くのブラウザーコンポーネントに影響する。
深刻度の高い脆弱性のいくつかは、悪意のある可能性があるWebコンテンツを隔離するために設計されたシステムに関係している。そのほかは、JavaScriptの実行、ドキュメントの処理、ページのレンダリングを担う、より低レベルのブラウザーコンポーネントに影響する。
その1つがCVE-2026-109704で、Application Updateコンポーネントに存在する深刻度の高い権限昇格の欠陥だ。サンドボックスやメモリ安全性の脆弱性とは別のものだが、Firefox 158で修正された一連のセキュリティ問題に含まれる。
今回のアップデートには、WebExtensionsとエンタープライズポリシーの脆弱性も含まれる。これらは異なるブラウザーの仕組みに影響するものであり、1つのエクスプロイトチェーンとして扱うべきではない。
Firefox 158のサンドボックス脱出とサイト分離の欠陥
このアドバイザリーの該当部分では、3種類の脆弱性が繰り返し登場する。
サンドボックス脱出とは、割り当てられたプロセスの制限外でコードが動作できるようになることだ。サイト分離の欠陥は、異なるサイトのWebコンテンツを隔てる境界を弱める。権限昇格の欠陥は、プロセスやコンポーネントが、本来許可された範囲を超える操作を実行できるようにする。
これらの弱点は重なり合う場合もあるが、それぞれ異なるセキュリティ上の失敗を指している。
CVE-2026-109705は、そのうち複数の問題を組み合わせたものだ。MozillaはNetworkingの脆弱性を深刻度「高」に分類し、サンドボックス脱出、サイト分離の問題、不正な境界条件、解放後使用（use-after-free）について説明している。
同じく深刻度が高いCVE-2026-109709は、Security: Process Sandboxingコンポーネントにおける情報漏えいと権限昇格に関係する。
そのほかの深刻度の高いサンドボックス脱出には、Networkingにおける解放後使用のCVE-2026-109707、Networkingにおける不正な境界条件の欠陥CVE-2026-109708、Graphicsにおける未初期化メモリに関係するCVE-2026-109712がある。
深刻度が中の脆弱性にも、同様の保護機構に影響するものが複数ある。
- CVE-2026-109740：Widget: Win32におけるサンドボックス脱出。
- CVE-2026-109745：DOM: Web Serialにおける未初期化メモリに関係するサンドボックス脱出。
- CVE-2026-109755：DOM: Content Processesにおけるサンドボックス脱出。
- CVE-2026-109757：Networkingにおける競合状態を利用したサンドボックス脱出。
- CVE-2026-109750およびCVE-2026-109759：それぞれWeb AuthenticationとNetworkingにおけるサイト分離の問題。
今回のアップデートでは、WebExtensionsの権限昇格の脆弱性CVE-2026-109739と、DOM: Navigationの権限昇格の脆弱性CVE-2026-109756も修正された。WebExtensionsの別の権限昇格問題であるCVE-2026-109778は、深刻度「低」と評価されている。
これらの項目は、1つの孤立したコンポーネントではなく、複数のブラウザーセキュリティ境界にまたがっている。組織のネットワーク全体で企業ネットワーク全体のブラウザー脅威を管理している組織は、エンドポイント評価にFirefoxのパッチ適用状況を含めるべきだ。
Firefox 158のメモリ安全性とJITの欠陥
解放後使用の脆弱性は、ソフトウェアが解放済みのメモリにアクセスし続けると発生する。不正な境界条件によって、想定された範囲外の操作が可能になる場合もある。
Firefox 158は、DOMバインディング、SVGレンダリング、音声・動画再生、キャンバスグラフィックス、レイアウト、XML、ストリームにまたがる、これらの問題に関係する多数の深刻度の高い脆弱性を修正した。
例として、DOM: BindingsのCVE-2026-109717、XMLのCVE-2026-109718、DOM: Core & HTMLのCVE-2026-109724およびCVE-2026-109725、SVGのCVE-2026-109726、Audio/VideoのCVE-2026-109727、DOM: StreamsのCVE-2026-109732がある。
深刻度の高いバグのいくつかは、JavaScriptエンジンと、そのJITコンパイルコンポーネントに影響する。
CVE-2026-109720は、WebAssemblyにおけるJITの誤コンパイルに関係する。CVE-2026-109722とCVE-2026-109733は、JavaScriptエンジンにおけるJITの誤コンパイル脆弱性だ。CVE-2026-109721は不正な境界条件に関係し、CVE-2026-109729は同じJITコンポーネントにおける解放後使用に関係する。
深刻度が中の脆弱性には、DOM: Securityの緩和策バイパスCVE-2026-109734と、Enterprise Policiesの緩和策バイパスCVE-2026-109737がある。
Mozillaは、これらの問題をサンドボックスの脆弱性とは別に列挙している。アドバイザリーは、攻撃者がこれらを組み合わせて実際に機能するエクスプロイトチェーンを構築したとは示していない。
管理者が次にすべきこと
以前のFirefoxリリースを利用しているユーザーは、Firefox 158に更新する必要がある。Mozillaの更新手順では、ブラウザーのヘルプメニューからインストール済みのバージョンを確認し、最新リリースをインストールする方法を説明している。
企業の管理者は、パッチを有効にするためにブラウザーの再起動が必要なデバイスも含め、管理対象エンドポイントに更新が行き渡っていることを確認すべきだ。
Firefox Extended Support Releaseを利用している組織は、Firefox 158が適切な更新だと決めつけず、該当するMozillaのアドバイザリーに照らして、インストール済みのESRバージョンを確認する必要がある。Mozillaのエンタープライズ向けリリース文書では、対応する10月のリリースとしてFirefox ESR 153.5を示している。
一元化されたパッチ管理ツールを使えば、管理者は展開状況を追跡し、脆弱なバージョンのままになっているデバイスを特定できる。
77件のCVEという合計値にも文脈が必要だ。Mozillaの新しい開示方式では、以前ならまとめて扱われていた可能性のある、内部で特定したメモリ安全性のバグに個別のCVEを割り当てている。報告件数が増えたからといって、Firefoxの安全性が自動的に低下したことを意味するわけではない。
ITチームにとって当面の優先事項は、該当するセキュリティアップデートをインストールし、管理対象デバイス全体で適用されていることを確認することだ。
あわせて読みたい：Googleの最近のChrome 155セキュリティアップデートでは、4件の重大な欠陥を含む247件の脆弱性に対処した。