Firefox 156に73件の脆弱性修正、解放後使用・サンドボックス回避など「High」29件——今すぐアップデートを

「なんでブラウザをこんなに頻繁に更新しないといけないんでしゅか？」
「73件って多すぎて、どれが本当に危険なのか分からないでしゅ…」

チップス

Firefoxって更新が多すぎでしゅ！毎回ちゃんと当てないといけないんでしゅか？

ボス

ブラウザは毎日使うツールだからな。攻撃者もそこを狙ってくる。今回のFirefox 156は深刻な脆弱性を73件修正した。放置すれば乗っ取られるリスクがある。

Mozillaは2026年9月15日、デスクトップ向けWebブラウザ「Firefox 156」の正式版をリリースし、合計73件のセキュリティ脆弱性を修正した。
深刻度「High（高）」が29件、「Moderate（中）」が24件、「Low（低）」が20件となっており、今回は「Critical（最高深刻度）」に分類されるものはゼロだった。

ブラウザの脆弱性は、URLを踏むだけで攻撃が成立するケースも多い。「自分のPCに何かをインストールしない限り大丈夫」は誤解だ。
この記事では今回の修正内容のポイントと、なぜ今すぐアップデートすべきかを解説する。

Firefox 156で修正された73件、深刻度の内訳

Mozillaは今回のリリースで、修正内容を深刻度別に分類している。

チップス

High が 29 件でしゅか…。それって全部 PC が壊れるってことでしゅか？

ボス

正確には「悪用条件が揃えば、乗っ取られる可能性がある脆弱性」だ。特に解放後使用（use-after-free）と呼ばれる種類は、攻撃者が細工したウェブページを開かせるだけでコードを実行させられる場合がある。

Criticalがゼロであることは一定の救いだが、「High」29件は看過できない水準だ。
今回の修正対象には次のような脆弱性が含まれる。

また、Mozillaは今回から内部で検出したメモリ安全性の脆弱性を単一CVEにまとめる従来方式を廃止し、個々のバグごとにアドバイザリを発行する方式に移行した。
これにより各脆弱性の内容が以前より明確に把握できるようになっている。

解放後使用（use-after-free）はなぜ危険なのか

「解放後使用」という言葉はセキュリティの文脈でよく目にするが、なぜ深刻なのかを整理しておこう。

チップス

「解放後使用」ってよく聞くんでしゅけど、何が起きてるんでしゅか？

ボス

ブラウザはWebページを表示するために、大量のデータをメモリ上に読み込んでいる。そのメモリは「使い終わったら解放する」設計なんだが、解放後に誤ってその領域を再参照してしまう場合がある。攻撃者はこのタイミングに悪意あるデータを書き込んで、任意のコードを実行させるわけだ。

チップス

つまり「ゴミ箱に捨てたのにまだ開いてる」みたいな状態でしゅか？

ボス

うまい例えだな。ゴミ箱を他人が使えるように解放したのに、自分もまだ使っているようなものだ。攻撃者がそのタイミングで悪意あるデータを入れれば、そのまま実行してしまう。

use-after-freeの危険ポイントは以下の3つだ。

企業のPCが標的になった場合、一台の感染が社内ネットワーク全体の侵害に発展することもある。
特にVPN接続で社内ネットワークに接続している端末は、感染後の横展開リスクが高い。

まとめ：Firefoxユーザーは今日中にアップデートを

Firefox 156は、Criticalこそゼロながら、Highが29件という規模の更新だ。
use-after-freeは攻撃者に好まれる定番の手法であり、放置はリスクになる。

チップス

アップデートってどうやるんでしゅか？難しいんでしゅか？

ボス

簡単だ。Firefoxのメニューから「ヘルプ」→「Firefoxについて」を開くと、自動で最新版を確認・インストールしてくれる。バージョンが156.0以上になっていれば対応完了だ。

企業の情報システム担当者は、社内端末のFirefoxバージョンを一括確認し、アップデートが済んでいない端末を優先対処してほしい。
MDMやソフトウェア配布ツールを活用して一括展開することも検討したい。