【更新 2026-08-09】本記事を見直し、修正しました。主な修正点：CVSS v3.1基本値6.5「中」の付与元を「NVD」から「CISA-ADP（NVDに掲載）」へ訂正しました（NVDの当該エントリは2026年8月9日時点で分析前の「Received」状態で、NVD独自の評価は未実施）。
Mozillaが2026年8月4日（現地時間）、Android版ブラウザ「Firefox for Android」の情報漏えい脆弱性（CVE-2026-18809）を修正した153.0.3を公開しました。「Firefox Focus for Android」も対象です。悪用の報告は現時点で確認されていませんが、Mozillaは自社基準で深刻度を「高（High）」と評価している一方、CISA（CISA-ADP）が付与しNVDに掲載されたCVSS v3.1基本値は6.5「中」で、評価が割れています。まずは業務利用端末のFirefoxを153.0.3以上に上げてください。
この記事でわかること
- CVE-2026-18809の概要と、対象・修正バージョン
- Mozillaの「高」とCVSS「中」がなぜ食い違うのか、どちらで判断すべきか
- 技術的詳細が非公開のなかで、情シスが取れる現実的な確認手順
- スマートフォンのブラウザが資産管理の死角になりやすい理由
何が起きたのか
MozillaはセキュリティアドバイザリMFSA2026-73を公開し、Android版Firefoxに情報漏えい（information disclosure）の脆弱性があることを明らかにしました。報告者はMozilla自身のファジングチーム（The Mozilla Fuzzing Team）で、外部の攻撃者による発見・悪用が先行したケースではありません。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-18809 |
| アドバイザリ | MFSA2026-73（2026年8月4日公開） |
| 対象製品 | Firefox for Android / Firefox Focus for Android |
| 修正バージョン | Firefox 153.0.3 |
| 脆弱性の種類 | 情報漏えい（CWE-200：権限のない者への情報露出） |
| Mozillaの評価 | High（同社独自の4段階の上から2番目） |
| CVSS v3.1（CISA-ADP付与／NVD掲載） | 6.5（中） AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N |
| 悪用の報告 | 公表時点で確認されていない |
| 報告者 | The Mozilla Fuzzing Team |
デスクトップ版Firefox（Windows / macOS / Linux）およびESRは、このアドバイザリの対象に挙がっていません。今回はAndroid版に限った話です。デスクトップ側は7月に公開されたFirefox 153（MFSA2026-68）などが最新系列にあたります。
この脆弱性で何が漏れるのですか？
結論から言うと、公開情報からは分かりません。Mozillaの説明は「Firefox for AndroidおよびFirefox Focus for Androidにおける情報漏えい」という一文にとどまり、漏えいする情報の種類も攻撃経路も記載されていません。参照先のBugzilla（Bug 2055683）も、この種の未修正端末が残る脆弱性の慣例どおり非公開のままです。CWE-200と機密性影響「高」という分類から、本来アクセスできないはずのデータが第三者に読める性質の不具合であることは読み取れますが、それ以上の断定はできません。
深刻度は「高」なのか「中」なのか
実務でいちばん迷うのがここです。Mozillaは「High」、NVDに掲載されたCVSSは6.5で「Medium（中）」。国内報道でも「中」として扱われています。なお、この6.5はNVD自身の分析結果ではなく、米CISAのADP（Authorized Data Publisher）が付与した値です（NVDの当該エントリは2026年8月9日時点でも分析前の「Received」状態）。この差はどこから来るのでしょうか。
CVSSベクタを分解すると理由が見えます。
- AV:N（ネットワーク）／AC:L（複雑さ低）／PR:N（権限不要） … 攻撃のハードル自体は低い
- C:H（機密性への影響：高） … 漏れたときの被害は大きい
- I:N / A:N … 改ざんやサービス停止は起きない
- UI:R（利用者の操作が必要） … ここがスコアを押し下げている
機密性への影響が「高」なのに総合が6.5に収まるのは、UI:R——つまり「利用者が何らかの操作をしないと成立しない」という前提が効いているためです。ただしブラウザの脆弱性における「利用者の操作」とは、多くの場合細工されたページを開く程度のことです。メールやSNSのリンクを1回タップすれば満たされる条件であり、現場感覚として「そこそこ起きる」部類に入ります。Mozillaが自社基準で「High」を付けているのは、この現実的な成立しやすさを織り込んだ評価だと考えるのが自然です。
CVSSの数値だけを見て「6.5だから来月の定例更新でいい」と判断すると、優先度を読み違えます。CVSS基本値は環境や悪用の現実性を含まない「素点」です。ベンダー自身の深刻度評価、ベクタの中身、そして自社での使われ方——この3つを併せて見る癖をつけておきたいところです。
現場目線の課題：スマホのブラウザは資産管理の死角
正直に言うと、この手の通知でいちばん困るのは「対象端末が何台あるのか分からない」ことです。
業務PCであれば資産管理ツールでインストール済みソフトとバージョンをある程度追えます。ところがスマートフォンとなると事情が変わります。会社支給のAndroid端末にMDMを入れていても、「どの従業員がFirefoxを入れているか」まで日常的に見ている組織は多くありません。標準ブラウザ以外は個人の裁量でインストールされ、棚卸しの対象から外れがちです。BYOD（私物端末の業務利用）を認めている場合は、そもそもインストール状況を把握する手段がありません。
さらにやっかいなのが、情報漏えい系の脆弱性は「起きても気づけない」という点です。リモートコード実行やランサムウェアと違い、端末の挙動に異常が出ません。ログにも残らない可能性が高く、「被害がなかった」のか「被害に気づいていない」のかを事後に切り分けるのは、率直に言ってほぼ不可能です。だからこそ、事後対応ではなく更新を早く行き渡らせることにしか勝ち筋がありません。
加えて、Android版のアプリ更新はGoogle Play経由の自動更新に依存します。自動更新をオフにしている端末、ストレージ不足で更新が止まっている端末、長期間Wi-Fiにつながっていない端末——こうした「取りこぼし」が一定数残るのが実情です。PCのパッチ適用率のように数字で追えないぶん、モバイルは静かに未適用が溜まります。
情シスはどうすべきか
今回のように技術的詳細が非公開の脆弱性は、回避策（ワークアラウンド）を自前で組み立てられません。取れる手はシンプルです。
- バージョンで切る。Firefox for Androidを153.0.3以上にする。端末側では「設定 → Firefoxについて」でバージョンを確認できます。
- Focusも忘れない。Firefox Focus for Androidも対象です。アドバイザリ上の修正版表記は「Firefox 153.0.3」のみで、Focus側の対応バージョン番号は明示されていません。Playストアで最新版に更新するのが確実です。
- MDMがあるなら、まずインストール状況を可視化する。アプリインベントリを取得できる構成なら、Firefox系アプリの導入台数とバージョンを一度洗い出しておくと、今後同種の通知が来たときの初動が変わります。
- BYODは周知で押さえる。強制できない領域は、更新を促す社内アナウンスと自動更新を有効にする案内で埋めるしかありません。
更新の徹底や利用者向けの啓発は、自前で長大なチェックリストを作るより公的機関の教材を使うほうが早く、説得力もあります。エンドユーザー向けの周知文面に迷ったら、IPAの情報セキュリティ対策のしおりが使いやすい素材です。モバイル端末を含む管理ルールを見直す段階なら、中小企業の情報セキュリティ対策ガイドラインが資産管理・更新管理の考え方をひととおり押さえています。「アプリの自動更新をオフにしない」といった地味な周知の積み重ねが、結局いちばん効きます。
紛失・盗難まで含めたモバイル端末全体の守り方はPC・スマホ紛失に備える、暗号化とMDMで漏えい防止で整理しています。Android OS本体の更新運用についてはAndroid 6月更新、悪用中ゼロデイに警戒をも併せてご覧ください。
中長期の視点：派生ブラウザという宿題
もうひとつ視野に入れておきたいのが、Firefoxのエンジン（GeckoView）を使った派生ブラウザの存在です。Android上には、Firefoxをベースにした匿名性重視のブラウザなど、上流の修正を取り込んで再配布するアプリがいくつかあります。上流に脆弱性が見つかると、派生側の修正は必ず一拍遅れます。
実際、今回のCVE-2026-18809についてもTor Projectのフォーラムに「Tor Browser for Androidに影響するのか」を問うスレッドが立っています（2026年8月上旬時点で、公開情報から明確な結論は確認できませんでした）。プライバシー保護を目的に導入されたブラウザが、情報漏えい脆弱性の温床になりうるというのは皮肉な構図です。
この構造はChromiumベースのブラウザでも同じで、ブラウザの更新頻度そのものが上がり続けている点も見逃せません（参考：Chrome今月5度目の更新、脆弱性4件を修正）。「業務で使ってよいブラウザ」を決め打ちして絞る——面白みのない結論ですが、追いかける対象を減らすことが、限られた人員で回すには結局いちばん現実的です。デスクトップ側の直近の動きはFirefox 153・ESR更新、悪用コード公開の脆弱性に注意にまとめています。
まとめ
- Firefox for Android / Firefox Focus for Androidを153.0.3以上に更新する。CVE-2026-18809は情報漏えいの脆弱性で、2026年8月4日にMFSA2026-73として公開された。
- 深刻度はMozillaが「高」、CVSS（CISA-ADP付与・NVD掲載）が6.5「中」と割れている。差の理由はUI:R（利用者操作が必要）。ブラウザではリンクを1回開けば成立しうる条件であり、数値だけで後回しにしない。
- 技術的詳細は非公開のため、影響有無の自力判断はできない。バージョンで切るしかなく、モバイルのアプリ棚卸しと自動更新の徹底が唯一の勝ち筋になる。
出典
- Mozilla Foundation Security Advisory 2026-73「Security Vulnerabilities fixed in Firefox for Android 153.0.3」https://www.mozilla.org/en-US/security/advisories/mfsa2026-73/
- NVD「CVE-2026-18809 Detail」https://nvd.nist.gov/vuln/detail/CVE-2026-18809
- CERT-FR「Vulnérabilité dans Mozilla Firefox pour Android」CERTFR-2026-AVI-0971 https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0971
- Security NEXT「『Firefox for Android』に情報漏洩の脆弱性 – 修正版が公開」https://www.security-next.com/188465
- IPA「情報セキュリティ対策のしおり」https://www.ipa.go.jp/security/guide/shiori.html
