Firefox 156、73件のセキュリティ脆弱性を修正

Firefoxが近年でも屈指の規模となるセキュリティ修正パッケージを公開しました。Firefox 156のリリースにおいて、Mozillaは驚くべきことに73件もの脆弱性を修正しています。この膨大なリストには、権限昇格やサンドボックス回避、深刻なメモリ破損を引き起こす数十件の攻撃経路が含まれています。

脆弱性リストの内訳

割り当てられた73件のCVEのうち、開発者は29件を高リスク、24件を中リスク、20件を低リスクに分類しました。このリストの規模が膨れ上がった背景には、Mozillaの情報開示方針における戦略的な転換があります。同社はもはや社内で発見したメモリ安全性エラーを単一の識別子にまとめることをせず、個々の不具合それぞれに個別のCVEを丹念に割り当てるようになりました。さらにMozillaは以前、高リスクの発見事項を評価する手法や、Firefoxの分離機構を回避するバグへの報奨金の算定方法も見直しています。

権限昇格とメモリ破損

これらの問題のうち大きな割合を占めるのが権限昇格に関するもので、勧告には20件が掲載されています。例えば、CVE-2026-92033はFirefox for Androidに直接影響し、CVE-2026-92015は侵害されたWebExtensionsを介した権限昇格を可能にします。もう一つの極めて危険な欠陥であるCVE-2026-92017は、Service Workersコンポーネントの奥深くに存在していました。

別の深刻な層として、17件にも及ぶ「use-after-free」(解放済みメモリの使用)エラーが挙げられます。こうしたケースでは、アプリケーションが既に解放されたメモリ領域へのアクセスを繰り返し試みてしまいます。これらの危険な欠陥は、Web Codecs、DOM、XML、SVG、ネットワークコード本体、WebAssembly、グラフィックスサブシステムなど多岐にわたるコンポーネントに存在していました。中でもWeb Codecs内のCVE-2026-92005は、高リスクの評価を受けています。

サンドボックス脱出の脅威

Mozilla Foundation Security Advisory 2026-90では、サンドボックス脱出に明確に分類される10件の脆弱性についても詳述しています。中でも最も深刻なものとして、Mozillaはグラフィックスサブシステム内のCVE-2026-92035と、DOM CoreおよびHTMLに影響するCVE-2026-92018を挙げています。こうした欠陥は、攻撃者がエクスプロイトチェーンを構築する上で極めて高い価値を持ちます。このシナリオでは、最初の脆弱性でブラウザ内に悪意あるコードを実行させ、続くサンドボックス脱出によって分離プロセスの制限を系統的に無効化します。攻撃者は過去にも、FirefoxとTor Browserの両方に対してまさにこの手口を武器として利用してきました。

広範なコンポーネントへの修正

このほかにも、CanvasWebGL、WebRender、HTTP、WebRTC、XPConnect、クラッシュレポート機能、DevTools、エンタープライズポリシー、セーフブラウジング、サイト分離機構における脆弱性に対して、数十件の追加パッチが適用されています。この包括的なリストには、情報漏えい、競合状態、境界検証の不備、未初期化メモリの利用、ユーザーインターフェースのなりすまし、各種防御プロトコルの回避などが含まれます。

これほど大量の修正が行われたことは、不具合発見の自動化が加速している状況を同時に映し出しています。2026年初頭、MozillaはAnthropicと共同で、人工知能がFirefoxのコードベースに潜む重大なエラー、特に危険なメモリ管理の問題をわずか数分で特定できることを劇的な形で実証しました。

アップデートの緊急性と過去の経緯

Firefox 156は、メインのブラウザブランチ向けに9月15日に正式にリリースされました。Mozillaのセキュリティ情報では、これらの脆弱性のいずれかが現時点で実際に悪用されているとは明示されていませんが、サンドボックス脱出や権限昇格、メモリエラーの件数が圧倒的に多いことから、今回のアップデートは極めて重要と言えます。

その一つ前のバージョンであるFirefox 155は、わずか2週間前に登場したばかりで、こちらも大規模な修正パッケージを提供していました。この時Mozillaは、深刻なメモリエラー、2件の独立したサンドボックス脱出、WebGPUを悪用する権限昇格の脆弱性を含む29件のCVEを解消しています。

春の時点では、これらのアップデートの規模はさらに桁違いでした。Firefox 150では、実に359件もの脆弱性に対する修正が一斉に提供されています。これらの大半はメモリ関連の問題で、その多くは高度な自動化ツールによって発見されたものでした。同様の傾向はFirefox 148でも見られ、Mozillaは約50件の個別の問題に対処しています。こうした大規模なセキュリティ情報が絶え間なく続いていることは、プロセス分離の欠陥やメモリ管理エラーの是正が、現代のブラウザのセキュリティ確保における最重要課題であり続けていることを如実に物語っています。