本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 9.6 急ぎ度: 早めに

Firefox 160など更新、サンドボックス脱出の脆弱性に修正版

Firefox 160などの更新で、CVSS v3が9.6のサンドボックス脱出の脆弱性5件を含む多数の脆弱性が修正されました。Firefoxと各ESRを、修正版の160、115.45、153.7のうち該当する版に更新してください。

CVE-2026-124861 公開 更新 執筆・監修: 佐々木 航 人が監修しながらAIを活用して執筆

同じ発表の脆弱性 7 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

記事のイメージ(生成 AI による画像)
画像は生成 AI で作成したイメージです

急ぎ度: 早めに

CVSS v3が9.6の脆弱性を含み修正版も公開済みのため、ブラウザーの定期更新より前倒しで適用する段階です。

関係があるか

社員のパソコンでFirefoxの通常版またはESR版を使っている組織が対象です。Linux版は、そのうち1件が自分たちの環境に当たるかも確認してください。

製品影響を受ける版修正版
Firefox（通常版） 160より前の版 Firefox 160。5件すべてがこの版で修正されています
Firefox ESR 115系 115.45より前の版 Firefox ESR 115.45。CVE-2026-124861・CVE-2026-124864・CVE-2026-124903が修正対象です。CVE-2026-124917とCVE-2026-124900は、この系統の修正対象に挙がっていません
Firefox ESR 153系 153.7より前の版 Firefox ESR 153.7。CVE-2026-124861・CVE-2026-124864・CVE-2026-124903・CVE-2026-124917が修正対象です。CVE-2026-124900は、この系統の修正対象に挙がっていません

確かめ方

  1. 1Firefoxのメニューから「ヘルプ」「Firefoxについて」を開くと、版が表示されます。更新が残っていれば、この画面で取得が始まります。
  2. 2Linuxでは、端末で firefox --version を実行すると版を確認できます。
  3. 3管理側では、資産管理ツールや配布システムで、通常版・ESR 115系・ESR 153系のどれが何台あるかを洗い出し、上の修正版に届いていない端末を一覧にします。
  4. 4Firefoxをベースにした別のブラウザーを使っている場合は、その提供元の告知で、取り込み済みの版を確認してください。

何が起きたか

Mozillaは2026年11月10日、Firefox 160、Firefox ESR 115.45、Firefox ESR 153.7でセキュリティ更新を公開しました。この記事で扱う5件は、ブラウザーがウェブの内容を処理する部分を隔離している仕組み（サンドボックス）から抜け出せてしまう脆弱性です。多くは、解放済みのメモリを使い続けてしまうuse-after-freeが原因です。隔離を越えられると、ブラウザーを動かしているユーザーの権限で、端末内のデータの読み取りや書き換え、動作の停止につながるおそれがあります。

  • CVE-2026-124861: Audio/Videoのcubebコンポーネントのuse-after-freeで、サンドボックス脱出が起きる（CVSS v3は9.6）
  • CVE-2026-124864: DOMのService Workersコンポーネントのuse-after-freeで、サンドボックス脱出が起きる（CVSS v3は9.6）
  • CVE-2026-124903: IPCコンポーネントのuse-after-freeで、サンドボックス脱出が起きる（CVSS v3は9.6）
  • CVE-2026-124917: Widget: Gtkコンポーネントのuse-after-freeで、サンドボックス脱出が起きる（CVSS v3は9.6）
  • CVE-2026-124900: DOMのService Workersコンポーネントのuse-after-freeで、サンドボックス脱出が起きる（CVSS v3は9.6）

今回の更新に含まれる修正は、この5件にとどまりません。Firefox 160の告知には40件以上の脆弱性が並び、ESR 115.45の告知には28件が載っています。Mozillaは、告知に挙げた脆弱性の影響度をいずれもhighとしています。ESR 153.7にも修正が含まれますが、件数はMozillaの告知で確認してください。

攻撃の流れ

  1. 1

    細工された内容

    利用者が、攻撃者の用意したウェブコンテンツをFirefoxで開きます。

  2. 2

    メモリ管理の誤り

    解放済みのメモリを使い続けるなどの誤りが、ブラウザー内部の処理で起きます。

  3. 3

    隔離を突破

    ブラウザーが内容の処理を閉じ込めているサンドボックスの外へ出られます。

  4. 4

    端末への影響

    ブラウザーを動かすユーザーの権限で、データの読み書きや動作の停止が起こりえます。

公開されている情報をもとにした流れの例です。

どう悪用されるか

CVE-2026-124861は、ネットワーク経由で、認証や特別な権限なしに攻撃でき、利用者がコンテンツを開くなどの操作をする必要があります。影響は隔離の外に及び、機密性・完全性・可用性のすべてが高く評価されています。ほかの4件も評価は同じ9.6で、条件は近いとみられます。

悪用されると、端末上のデータが読まれたり書き換えられたり、ブラウザーが使えなくなったりするおそれがあります。社内では、業務システムやクラウドサービスの管理画面にログインしたままのブラウザーが狙われる場面を想定しておくとよいでしょう。

今すぐやること

  1. 1

    Firefoxを修正版に更新する

    通常版はFirefox 160、ESR 115系は115.45、ESR 153系は153.7へ更新します。自動更新が有効な端末は、版の確認を兼ねて「Firefoxについて」を開くと早く適用されます。

    firefox --version
  2. 2

    更新を止めている端末を探す

    配布システムで更新を管理している環境や、ESRを手動で配っている環境は、利用者任せにならず、管理側から修正版を配ります。版が修正版に届いていない端末を一覧にして、完了まで追います。

  3. 3

    再起動して版を確認する

    更新を取得しただけでは、起動中のFirefoxが旧版のまま動いていることがあります。ブラウザーを再起動してから、版が修正版以降になったことを確認します。

  4. 4

    派生ブラウザーの提供元を確認する

    Firefoxを土台にしたブラウザーや、組み込み用途のFirefoxを使っている場合は、提供元の告知で、今回の修正がいつ取り込まれるかを確認します。

背景

Firefoxは、社員がSaaSや社内システムの管理画面を開く入口になるブラウザーです。ウェブの内容を処理する部分は、別プロセスの制限された環境（サンドボックス）で動き、内容側に欠陥があっても端末の本体に手が届かないように作られています。サンドボックス脱出の脆弱性は、この境界そのものを破るものです。ほかの脆弱性と組み合わせて悪用される形が知られているため、単独の評価以上に気にしておく必要があります。

今回は、通常版のFirefox 160と同じ日に、ESR 115.45とESR 153.7も出ています。Firefox 160の告知は報告者の欄が多彩で、OpenAI Codex Securityと記された項目が数多く並びます。更新全体の修正数が多いのは、そうした報告が重なった結果とみられます。

よくある質問

Q.自動更新が有効なら、何もしなくてよいですか。
A.更新が自動で取得される端末も、再起動するまでは旧版のまま動いていることがあります。更新を止めている端末や、利用者が長く閉じない端末は、管理側から再起動を促し、版を確認しておくと確実です。
Q.CVE-2026-124917のGtkは、Linux版だけの話ですか。
A.Gtkは主にLinuxのデスクトップで使われる部品なので、この1件はLinux版に関わると考えられます。ただし、対象のOSは告知に明記されていません。ほかの4件も含め、OSを問わず更新するのが確実です。

まだ分かっていないこと

  • 5件を含む今回の脆弱性について、実際の攻撃での悪用が確認されたかどうかは公表されていません。
  • 5件が単独でサンドボックス脱出に至るのか、別の脆弱性との組み合わせが必要なのかは公表されていません。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の記録です。修正版は配布版ごとに違うので、リンク先で確かめてください。

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

Sandbox escape due to use-after-free in the Audio/Video: cubeb component. This vulnerability was fixed in Firefox 160, Firefox ESR 115.45, and Firefox ESR 153.7.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく