結論から。Mozillaは2026年7月21日、ブラウザ「Firefox 153」および法人向けの「Firefox ESR 140.13」「同 115.38」を公開しました。とくに注目すべきはESR版で、すでに悪用コード（Exploit）が公開されている重大（Critical）脆弱性2件（CVE-2026-15718／CVE-2026-15719）を修正した点です。メインラインは1週間前の緊急更新（152.0.6）で対処済みでしたが、企業で広く使われるESRにはこの更新でようやく修正が届きました。ESRを標準ブラウザにしている組織は、優先度を上げて更新してください。
この記事でわかること
- 今回公開されたバージョンと、どれが「緊急」なのか
- 悪用コードが公開済みの重大脆弱性2件の中身
- ESRを使う企業が特に急ぐべき理由（更新タイミングの空白）
- 情シスとして今すぐ確認すべきこと
何が公開されたのか
2026年7月21日付のMozilla Foundation Security Advisory（MFSA）で、以下が同時に公開されました。
| アドバイザリ | 対象バージョン | 公表日 | 最高重要度 |
|---|---|---|---|
| MFSA 2026-68 | Firefox 153 | 2026-07-21 | 高（High） |
| MFSA 2026-70 | Firefox ESR 140.13 | 2026-07-21 | 重大（Critical） |
| MFSA 2026-69 | Firefox ESR 115.38 | 2026-07-21 | — |
| （参考）MFSA 2026-67 | Firefox 152.0.6 | 2026-07-14 | 重大（Critical） |
通常版のFirefox 153は多数の脆弱性（High 20件・Moderate 35件・Low 8件ほか）を修正していますが、最高でも「高」止まりです。一方、ESR 140.13は「重大」を含む計32件を修正しています。ここに今回の要注意ポイントが表れています。
悪用コードが公開済みの2件（CVE-2026-15718／15719）
ESR 140.13で修正された「重大」2件は、いずれもMozillaが「この脆弱性の悪用コードが公開されていることを把握している（ただし実際の攻撃は確認していない）」と明記したものです。悪用コードが出回っている＝攻撃のハードルが下がっている状態であり、未修正のまま放置するリスクは高くなります。
| CVE | コンポーネント | 概要 | 状態 |
|---|---|---|---|
| CVE-2026-15718 | JavaScript: WebAssembly | 無効なポインタに起因する不具合。Web上のコンテンツを介した悪用が懸念される | 重大／悪用コード公開済み |
| CVE-2026-15719 | DOM: Navigation | サイト分離（Site Isolation）の不備。あるプロセスのコンテンツが別プロセスの文脈へ干渉しうる | 重大／悪用コード公開済み |
「サイト分離」は、開いているサイトごとにプロセスを分けて相互干渉を防ぐブラウザの基本防御です。CVE-2026-15719はその分離を回り込むもので、悪意あるサイトを1回開くだけで被害につながる可能性があります。なお、この2件はメインライン向けには2026年7月14日の緊急更新（Firefox 152.0.6）で先に修正されていました。
なぜ「ESRを使う企業」が特に急ぐべきなのか
ESR（Extended Support Release）は、頻繁な機能更新を避けたい企業向けに安定性重視で提供される版です。だからこそ、情シスが管理配布（GPO・MDM等）で標準採用しているケースが多いはずです。
今回の経緯を時系列で見ると、公開されたアドバイザリの範囲では次のようになります。
- 7月14日：メインライン（一般ユーザー）向けに緊急更新152.0.6が出て、重大2件を修正。
- 7月21日：ESR 140.13が出て、同じ重大2件をようやく修正。
つまりESRを標準にしている組織ほど、悪用コードが公開された状態の期間が実質的に長かった可能性があります。「ESR＝安定＝安全」ではなく、「重大な脆弱性の修正が届くタイミングは版によってずれる」という前提で運用する必要があります。パッチ待ちの空白にどう向き合うかはゼロデイの未修正公開、パッチ待ちの空白に情シスは何をすべきかでも整理しています。
想定されるリスク
- Web閲覧経由の侵入：ブラウザの脆弱性は、従業員が業務中に踏んだ1つのサイトが起点になり得ます。標的型メールのリンク先や、正規サイトの改ざんも入口です。
- 資産の把握漏れ：ポータブル版・私物端末・検証用に残った古いFirefoxなど、管理外の導入が更新から取り残されがちです。
- 更新の遅延：ESRを固定運用していると自動更新を絞っている場合があり、配布設計次第で適用が遅れます。
情シスはどうすべきか
やることはシンプルです。まず資産の棚卸しと更新の徹底。次に、悪用コードが公開されている状況を踏まえた優先度づけです。
- バージョン確認と更新：Firefoxは153、ESRは140.13または115.38へ。管理配布している場合は配布ポリシーの反映状況を確認する。
- 影響範囲の特定：組織内のFirefox（ESR含む）導入台数・版を洗い出す。管理外の私物・ポータブル版も見落とさない。
- ユーザーへの周知：手動更新が必要な環境では、更新手順を短く案内する。地道な啓発が結局は近道です。
脆弱性対応を場当たりにしないための考え方は脆弱性管理とは？プロセスと情シスの進め方を、悪用コード公開の意味合いはゼロデイ攻撃とは？仕組み・なぜ防ぎにくいかも参考にしてください。組織横断の対策としては、IPAの中小企業の情報セキュリティ対策ガイドラインや、エンドユーザー啓発向けの対策のしおりが実用的です。
現場目線の所感
正直なところ、「重大脆弱性が出た＝すぐ全台更新」と言うのは簡単ですが、現場では台数の把握そのものが一苦労です。標準ブラウザはChromeでも、部署の都合でFirefox ESRが混在している、検証用PCに古い版が残っている――こうした”見えていない端末”が更新から漏れます。今回のように「メインラインは先、ESRは後」という時間差があると、安定を優先したはずのESR運用がかえって空白を生む、という皮肉も起こります。ブラウザは全社員が毎日触る最大の攻撃面です。派手さはなくても、資産管理と更新配布の地力がそのまま守りの厚みになります。
ブラウザ周りのリスクは本体だけではありません。拡張機能の観点はブラウザ拡張の脆弱性7件 Securlyに学ぶ情シスの盲点もあわせてどうぞ。
まとめ
- Mozillaが7月21日にFirefox 153とESR 140.13／115.38を公開。ESR版は悪用コード公開済みの重大脆弱性2件（CVE-2026-15718／15719）を修正した。
- 同2件はメインライン向けに7月14日の緊急更新（152.0.6）で先に対処済み。ESRは修正が届くのが遅れたため、ESR運用組織は特に急ぐべき。
- やるべきは資産の棚卸しと更新の徹底。管理外・古い版の取り残しをなくし、公的指針も活用して対応する。
出典
- Mozilla Foundation Security Advisories（MFSA 2026-68 / 2026-70 / 2026-69 / 2026-67）: https://www.mozilla.org/en-US/security/advisories/
- Security NEXT「『Firefox 153』など公開、脆弱性を修正 – ESR版は重要度『クリティカル』」: https://www.security-next.com/187685
- IPA 中小企業の情報セキュリティ対策ガイドライン: https://www.ipa.go.jp/security/guide/sme/index.html
※本記事は2026年7月22日時点の公開情報に基づきます。更新タイミングの記述はMozillaが公開したアドバイザリの日付から読み取れる範囲のものです。
