Firefox 152.0.3 以前にメモリ安全性の欠陥（CVSS 9.8・一部はコード実行に至り得る）

Critical（CVSS 9.8）に分類されるMozilla Firefox 152.0.4 未満（MFSA2026-62）の脆弱性です。Mozilla のセキュリティ速報 MFSA2026-62 で修正された、Firefox 152.0.3 以前に存在するメモリ安全性の欠陥のまとめ。複数のメモリ破壊バグが含まれ、そのうちの一部はメモリ破壊の痕跡が確認されており、十分な作り込みがあれば任意コード実行に悪用され得るとされる（Mozilla が毎回この種の roll-up に付す定型評価で、実際に攻撃に使われたことが確認されたという意味ではない）。CVSS 3.1 基本値は 9.8 で、細工したウェブページを開かせるだけで成立し得る点が深刻度を押し上げている。 ブラウザの欠陥のため、攻撃の起点は「利用者に細工ページを踏ませる」ことになる。標的型のメール・広告・改ざんサイト経由でのドライブバイが典型で、認証も特別な操作も要らない。修正版は 152.0.4。企業で ESR 系を使っている場合は別トラック（該当 ESR の対応版）で配布されるため、自組織がどの系統を配っているかを確認する必要がある。 Firefox は既定で自動更新が効くため、放置されやすいのは「自動更新を止めている管理端末」「キオスク/組み込み用途」「更新を集中管理していて配信が遅れる環境」である。個人利用なら再起動で解決することが多いが、台数のある環境ほど配信状況の確認が要る。

自組織の Firefox を 152.0.4 以降へ更新する。まず自動更新が効いている端末は再起動を促すだけで足りることが多い。次に、自動更新を無効化している管理端末・キオスク・組み込み用途を洗い出し、そこを個別に更新する。ここが取り残されやすい。 ESR（延長サポート版）を配布している環境は、通常版のバージョン番号ではなく該当 ESR の対応版（Mozilla の該当 MFSA で示されるビルド）へ上げる。集中管理（GPO・MDM・Ansible 等）で配っている場合は、配信が実際に端末へ届いてバージョンが上がったところまで確認する。「配信した」ことと「更新された」ことは別である。 ブラウザ側の欠陥なので、サーバやクラウド基盤の設定では防げない。踏ませないための一般的な備え（不審サイト・広告のブロック、標的型メールへの注意喚起）は補助にはなるが、根本対処はあくまでバージョン更新である。

Mozilla Firefox 152.0.4 未満（MFSA2026-62） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-14241）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。