Thunderbirdに、パスワードが暗号化されずに送られる弱点 158.0.1で修正

Mozillaは2026年10月20日、メールソフト「Thunderbird」の安全の情報を公開した。アカウントを設定するときに、入力したパスワードが暗号化されずに送られる弱点(脆弱性)などを直した。

何が直ったのか

Mozillaによると、毎月更新される通常の版の158.0.1で8件、長期サポート版(ESR)の153.5.1で4件の弱点を直した。全体の深刻度は「高」だ。

利用者にいちばん身近なのは、パスワードの弱点(CVE-2026-113866、深刻度「高」)だ。Mozillaの説明では、アカウントを設定するとき、Thunderbirdは「Exchange」の設定を自動で探す仕組み(AutoDiscover)で、暗号化しないHTTPの通信でも問い合わせていた。不具合で、この問い合わせに、利用者が入力した認証情報が含まれていた。通信を盗み見できる攻撃者に、パスワードを知られるおそれがあったという。

ほかにも、深刻度「高」の次の弱点が直った。

• チャットの機能でXMPPのアカウントを使うとき、相手に、利用者に代わってメッセージを送られたり、連絡先の設定を変えられたりするおそれ
• NTLMという方式でPOP3やSMTPのサーバーにつなぐとき、悪意のあるサーバーに、パソコンのメモリーの中身の一部を知られるおそれ
• インドの認証局eMudhraの、問題が見つかった証明書を遮断する一覧の更新(関連記事)

かんたんに言うと

Exchangeは、Microsoftの、会社などで使われるメールの仕組みだ。Thunderbirdは、メールアドレスとパスワードを入れると、サーバーの設定を自動で探してくれる。その探し方の一つが、AutoDiscoverだ。

暗号化しない通信は、はがきのようなものだ。運ぶ途中で、だれかに文面を読まれうる。今回は、そのはがきにパスワードを書いて出していたことになる。

どうすればよいのか

Thunderbirdを158.0.1以降に、長期サポート版を使っている人は153.5.1以降にする。メニューの「ヘルプ」から「Thunderbird について」を開くと、今の版を確かめられる。Thunderbirdの公式ブログは、この画面(英語の画面では「Help > About」)から手動で更新できると案内している。公式サイトから入れ直すこともできる。

これから新しくアカウントを足す人は、先に更新を済ませてから設定したい。Mozillaは、悪用されたかどうかや、パスワードを変える必要があるかには触れていない。外の無線LANなどで最近アカウントを設定した人は、念のためメールのパスワードを変えておくと安心だ(TECHNOVAの見方)。

日本では

Thunderbirdは日本語版も公式に配られていて、日本語の公式サイトは「永久無料」としている。公式のダウンロードのページでは、言語に「日本語」を選んで、158.0.1と153.5.1を入手できる。

まとめ

Thunderbirdの、パスワードが暗号化されずに送られる弱点は、10月20日に出た版で直った。「ヘルプ」の「Thunderbird について」で版を確かめ、158.0.1か153.5.1に更新しておきたい。