Mozillaは10月13日、Firefox 158をリリースし、個別に公開された77件のセキュリティ脆弱性を修正しました。このうち30件が重要度「高」、33件が「中」、14件が「低」と評価されています。
重要度「高」の脆弱性には、Webページのコードを閉じ込めるための仕組みであるプロセスのサンドボックス化、サイト分離、権限制御の欠陥が含まれます。このほか、JavaScriptエンジン、JITコンパイラ、グラフィックス関連コードなど、ブラウザーの各コンポーネントに影響するメモリ安全性のバグも修正されました。
Mozillaは、社内で発見したメモリ安全性のバグの報告方法も変更しました。これまでは1件のCVEにまとめていましたが、今後は脆弱性ごとに個別のエントリーを公開します。Mozillaのセキュリティアドバイザリーが明らかにしました。このため、過去のリリースと脆弱性の件数を単純に比較することは難しくなっています。
アドバイザリーに記載された修正はFirefox 158に含まれています。Mozillaは、記載された脆弱性のいずれについても、悪用が確認されているとは述べていません。ただし、未公表の悪用の可能性が否定されるわけではありません。
Firefox 158セキュリティアップデートの対象範囲
77件の脆弱性は、ネットワーク、プロセスのサンドボックス化、JavaScriptエンジン、グラフィックス、DOM、ストレージ、クラッシュレポート、アプリケーションの更新など、多数のブラウザーコンポーネントに及びます。
重要度「高」の脆弱性のうちいくつかは、悪意あるWebコンテンツを封じ込めるための仕組みに関わるものです。そのほかには、JavaScriptの実行、ドキュメントの処理、ページの描画を担う下位レイヤーのコンポーネントに影響するものもあります。
その1つが、Application Updateコンポーネントの権限昇格の脆弱性「CVE-2026-109704」で、重要度は「高」です。サンドボックスやメモリ安全性の脆弱性とは別のものですが、Firefox 158の一連のセキュリティ修正に含まれています。
今回のアップデートでは、WebExtensionsとエンタープライズポリシーの脆弱性も修正されました。これらはブラウザーの異なる仕組みに影響するもので、単一のエクスプロイトチェーンとして扱うべきではありません。
Firefox 158のサンドボックス脱出とサイト分離の欠陥
アドバイザリーのこの部分には、3種類の脆弱性が繰り返し登場します。
サンドボックス脱出とは、コードが割り当てられたプロセスの制限の外で動作できてしまう問題です。サイト分離の欠陥は、異なるサイトのWebコンテンツを隔てる境界を弱めます。権限昇格の欠陥では、プロセスやコンポーネントが本来の権限を超える操作を実行できます。
これらの弱点は重なり合うことがありますが、それぞれ異なるセキュリティ上の失敗を指しています。
「CVE-2026-109705」は、そのうち複数の性質を併せ持ちます。Mozillaはこのネットワークの脆弱性を重要度「高」に分類し、サンドボックス脱出、サイト分離の問題、不適切な境界条件、use-after-freeがあると説明しています。
同じく重要度「高」の「CVE-2026-109709」は、Security: Process Sandboxingコンポーネントにおける情報漏えいと権限昇格に関するものです。
重要度「高」のサンドボックス脱出には、ほかに次のものがあります。ネットワークのuse-after-freeである「CVE-2026-109707」、ネットワークの不適切な境界条件の欠陥「CVE-2026-109708」、グラフィックスの未初期化メモリに関する「CVE-2026-109712」です。
重要度「中」の脆弱性にも、同様の保護機能に影響するものがあります。
- CVE-2026-109740: Widget: Win32のサンドボックス脱出
- CVE-2026-109745: DOM: Web Serialの未初期化メモリに起因するサンドボックス脱出
- CVE-2026-109755: DOM: Content Processesのサンドボックス脱出
- CVE-2026-109757: ネットワークの競合状態によるサンドボックス脱出
- CVE-2026-109750および CVE-2026-109759: それぞれWeb Authenticationとネットワークにおけるサイト分離の問題
今回の更新では、重要度「中」の権限昇格の脆弱性も修正されました。WebExtensionsの「CVE-2026-109739」と、DOM: Navigationの「CVE-2026-109756」です。WebExtensionsにはこれとは別の権限昇格の問題「CVE-2026-109778」もあり、こちらの重要度は「低」です。
これらのエントリーは、単一のコンポーネントにとどまらず、ブラウザーの複数のセキュリティ境界にまたがっています。企業ネットワーク全体のブラウザー脅威に対処している組織は、エンドポイントの評価にFirefoxのパッチ適用状況を含めるべきです。
Firefox 158のメモリ安全性とJITの欠陥
use-after-freeの脆弱性は、解放されたメモリにソフトウェアがアクセスし続けることで発生します。不適切な境界条件があると、想定された範囲外の操作が可能になる場合があります。
Firefox 158では、こうした問題に関わる重要度「高」の脆弱性が多数修正されました。対象は、DOMバインディング、SVGレンダリング、音声・動画の再生、キャンバスグラフィックス、レイアウト、XML、ストリームに及びます。
例として、DOM: Bindingsの「CVE-2026-109717」、XMLの「CVE-2026-109718」、DOM: Core & HTMLの「CVE-2026-109724」と「CVE-2026-109725」、SVGの「CVE-2026-109726」、Audio/Videoの「CVE-2026-109727」、DOM: Streamsの「CVE-2026-109732」があります。
重要度「高」のバグのうちいくつかは、JavaScriptエンジンとそのジャストインタイム（JIT）コンパイル部分に影響します。
「CVE-2026-109720」は、WebAssemblyにおけるJITの誤コンパイルです。「CVE-2026-109722」と「CVE-2026-109733」は、JavaScriptエンジンのJITの誤コンパイルに関する脆弱性です。「CVE-2026-109721」は不適切な境界条件、「CVE-2026-109729」は同じJITコンポーネントのuse-after-freeに関するものです。
重要度「中」の脆弱性には、DOM: Securityの緩和策バイパス「CVE-2026-109734」と、Enterprise Policiesの緩和策バイパス「CVE-2026-109737」があります。
Mozillaは、これらの問題をサンドボックスの脆弱性とは別に記載しています。攻撃者がこれらを組み合わせ、実際に機能するエクスプロイトチェーンを構築したことは、アドバイザリーでは確認されていません。
管理者が次に取るべき対応
以前のバージョンのFirefoxを使用している場合は、Firefox 158にアップデートしてください。Mozillaのアップデート手順では、ブラウザーのヘルプメニューからインストール済みのバージョンを確認し、最新版をインストールする方法を説明しています。
企業の管理者は、管理下のエンドポイントにアップデートが行き渡っていることを確認する必要があります。パッチの適用にブラウザーの再起動が必要なデバイスも対象です。
Firefox延長サポート版（ESR）を利用している組織は、Firefox 158が適切なアップデートだと決めつけず、インストール済みのESRのバージョンを該当するMozillaのアドバイザリーと照らして確認してください。Mozillaの企業向けリリースドキュメントによると、10月のリリースに対応するのはFirefox ESR 153.5です。
集中型のパッチ管理ツールを使えば、管理者は展開状況を追跡し、脆弱なバージョンのままのデバイスを特定しやすくなります。
77件というCVEの総数については、背景も踏まえる必要があります。Mozillaの新しい開示方針では、社内で発見したメモリ安全性のバグに、従来であればまとめられていた場合でも個別のCVEを割り当てます。報告件数が増えたからといって、Firefoxの安全性が低下したとは限りません。
IT部門にとっての当面の優先事項は、該当するセキュリティアップデートをインストールし、管理下のすべてのデバイスで適用されていることを確認することです。
関連記事：Googleの最近のChrome 155セキュリティアップデートでは、4件の重大な脆弱性を含む247件の脆弱性が修正されました。
