Thunderbird、Exchange設定時にパスワードを平文送信する不備を修正

Mozillaは2026年10月20日、メールソフトThunderbirdの158.0.1と153.5.1で複数の脆弱性を修正したと公表しました。このうちCVE-2026-113866は、Exchangeアカウントの設定時に入力したパスワードを暗号化せずに送信してしまう問題です。重大度は「High」とされています。

原因は、接続先を自動で探すAutoDiscoverの処理です。Thunderbirdは対象ドメインへの問い合わせに平文のHTTPも使用していましたが、その要求に利用者の認証情報まで含めていました。Mozillaは、この通信を取得できるネットワーク上の攻撃者がパスワードを入手できると説明しています。通常のメール受信全般でパスワードが流出する、という発表ではありません。

同じ更新では、XMPPチャットの自動応答に細工した内容を混ぜられる問題や、POP3・SMTPのNTLM認証でメモリーの内容が相手サーバーへ漏れる問題も修正されました。影響する機能と認証方式がそれぞれ異なります。

Thunderbirdの管理者は、通常版なら158.0.1、ESR版なら153.5.1以降への更新を確認してください。公表資料に実被害の件数は示されていません。更新は不備を修正するもので、過去に送信された認証情報を取り消す処置ではありません。