脆弱性 / VULNERABILITIES / BROWSER
Mozillaが「Firefox 155」を公開 — 29件の脆弱性を修正、サンドボックス回避と権限昇格を含む
Mozillaは2026年9月1日、Firefox 155（MFSA 2026-82）を公開し、29件の脆弱性を修正したと発表した。高深刻度ではサンドボックス回避や権限昇格、Use After Freeなど10件以上が含まれ、メモリ破損の内部発見バグも高深刻度として扱われている。Mozillaは通常更新とESRの適用を呼びかけている。
Mozillaは2026年9月1日、ウェブブラウザFirefoxの最新版「Firefox 155」を公開し、29件の脆弱性を修正したと発表した（セキュリティアドバイザリ MFSA 2026-82）。Mozillaは脆弱性の深刻度を高・中・低で区分し、最も高い「高（High）」が10件、「中（Moderate）」が5件、「低（Low）」が8件、残りは内部で発見されたメモリ破損関連の修正としてまとめられている。MozillaはFirefox 155への更新と、延長サポート版（ESR）を利用している組織ではESR 140.15および153.2への更新を推奨している。
Firefox 155で修正された主な脆弱性
Mozillaが公表したMFSA 2026-82によると、Firefox 155では以下の脆弱性が修正された。Mozillaは各脆弱性について、影響を受けるコンポーネントと報告者、参照するBugzillaのバグ番号を併記している。
高深刻度（High） — 10件
| CVE | 概要 | コンポーネント | 報告者 |
|---|---|---|---|
| CVE-2026-84117 | 権限昇格 | Firefox for Android | HiWorld |
| CVE-2026-84118 | Use After Free | JavaScript: GC | x0e |
| CVE-2026-84119 | サンドボックス回避（Use After Free） | DOM: Navigation | Yaqoub Aldurayhim |
| CVE-2026-84120 | Use After Free | Audio/Video | Ukyo Akai |
| CVE-2026-84121 | サンドボックス回避（Use After Free） | DOM: Security | Yaqoub Aldurayhim |
| CVE-2026-84122 | Use After Free | Audio/Video | Hyeonjun Ahn |
| CVE-2026-84123 | 権限昇格（Use After Free） | Graphics: WebGPU | Yaqoub Aldurayhim |
| CVE-2026-84124 | Use After Free | DOM: Core & HTML | Hyeonjun Ahn |
| CVE-2026-84125 | Use After Free | DOM: Core & HTML | Yaqoub Aldurayhim |
| CVE-2026-84126 | 不適切な境界条件 | Layout: Grid | Irvan Kurniawan |
「Use After Free」は、すでに解放されたメモリ領域を再利用することで任意のコード実行などにつながる可能性がある脆弱性の類型である。サンドボックス回避は、ブラウザがウェブコンテンツを隔離する保護機構を迂回する問題で、悪用された場合に権限昇格や端末への影響拡大につながりうる。
中深刻度（Moderate） — 5件
- CVE-2026-84127: WebExtensionsにおける情報漏えい（Firefox for Android）
- CVE-2026-84128: WebDriver BiDiにおける権限昇格
- CVE-2026-84129: DOM Navigationにおけるサイト分離の問題
- CVE-2026-84130: Graphics WebGPUにおける情報漏えい
- CVE-2026-84131: Graphicsにおける無効なポインタによる権限昇格
低深刻度（Low） — 8件
- CVE-2026-84133〜84141として、DOMやPDF Viewer、イベント処理などにおけるサイト分離やスプーフィング、クリックジャッキング、整数オーバーフローなどの問題が修正された。
内部発見の修正
Mozillaは外部報告に加え、内部のファジングチームなどが発見したメモリ破損のバグについても修正したと説明している。これらはFirefox 154に存在したバグで、メモリ破損やセキュリティに関連する欠陥の証拠が確認され、十分な労力をかければ悪用されうると想定されるとして、高・中・低の各深刻度で分類されている（CVE-2026-84142〜84145）。これらの内部発見バグはFirefox 155だけでなく、ESR 140.15や153.2、115.40でも併せて修正されたものが含まれている。
影響と対象バージョン
MFSA 2026-82の対象製品は「Firefox」、修正バージョンは「Firefox 155」である。Mozillaは同日、ESRについても以下のアドバイザリで修正を公開している。
- Firefox ESR 140.15（MFSA 2026-84）
- Firefox ESR 153.2（MFSA 2026-85）
- Firefox ESR 115.40（MFSA 2026-83）
組織でESRを利用している場合は、対応するESRブランチへの更新が必要になる。
Mozillaが推奨する対応
Mozillaが公表している対応は、修正済みバージョンへの更新である。記事で紹介した脆弱性はMozillaが修正済みとして公表したものであり、MozillaはFirefox 155（および対応するESR）への更新を推奨している。個別の回避策や緩和策についてMozillaが追加で示している内容はないため、利用者は通常の更新経路（自動更新または手動での最新版適用）で最新版を適用することが推奨される。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。