Thunderbird v147.0.2へのアップデート方法｜CVE-2026-2447の脆弱性と対処手順を解説
- 公開日：2026/2/17
- 最終更新日：
- パソコン日記
- Thunderbird v147.0.2へのアップデート方法｜CVE-2026-2447の脆弱性と対処手順を解説 はコメントを受け付けていません
「Thunderbirdを使っているけど、セキュリティ更新って本当に必要なの？」と思っていませんか？
この記事では、2026年2月16日にリリースされたThunderbird v147.0.2に含まれる重要なセキュリティ修正（CVE-2026-2447）について、リスクの内容から更新手順まで解説します。
💡 「ヒープバッファーオーバーフロー」は「バケツの水があふれる」こと
プログラムがデータを一時保存する場所（バケツ＝バッファー）には容量の上限があります。悪意のある動画データを読み込ませることで、そのバケツを意図的にあふれさせ（オーバーフロー）、隣接する重要なデータを書き換えてしまう攻撃手法です。水があふれて床（メモリ）が水浸しになるイメージです。
この記事を読めば、今自分のThunderbirdが危険な状態かどうか、何をすべきかがはっきりわかります。
注：セキュリティリスクの深刻度や影響範囲は、ご利用の環境・設定によって異なります。本記事では一般的な使用状況を前提に解説していますが、特殊な設定をされている方は公式情報も合わせてご確認ください。
⚠️ 重要：高リスク分野の注意事項
本記事はセキュリティに関する情報を扱っています。バージョン番号・リリース日・CVE番号は執筆時点（2026年2月）の情報です。必ず公式サイト（thunderbird.net）で最新情報を確認してください。
今回の脆弱性（CVE-2026-2447）の内容をわかりやすく解説
今回修正された脆弱性は、「libvpxにおけるヒープバッファーオーバーフロー（Heap buffer overflow）」です。名前は難しく聞こえますが、仕組みは順を追って理解できます。この脆弱性の詳細は、Mozilla Foundation Security Advisory mfsa2026-11（英語）に公式記録されています。
libvpxとは何か
libvpxとは、Web上で動画を再生するための「VP8/VP9」形式の動画データを処理（デコード）するプログラム部品（ライブラリ）です。Thunderbirdだけでなく、Google ChromeやFirefoxなど多くのソフトウェアで共通して使われている「動画再生エンジン」のようなものです。
深刻度「High」の意味
Mozilla（Thunderbirdの親元）は、今回の脆弱性の深刻度を4段階中2番目に高い「High（高）」と評価しています。CVEの識別番号「CVE-2026-2447」は、米国政府が運営する脆弱性データベース NVD（CVE-2026-2447） でも公式に登録・確認できます。
| 深刻度 | 意味 | 今回 |
|---|---|---|
| Critical（最高） | ユーザーが何もしなくても攻撃される危険がある（最も危険） | |
| High（高） | 通常の操作（Web閲覧など）の中で、情報流出や乗っ取りの危険がある | ★ 今回 |
| Moderate（中） | 特殊な設定や条件が揃った場合にリスクがある | |
| Low（低） | 軽微な情報漏洩や、攻撃が非常に難しいもの |
「High」は、条件さえ整えば攻撃が可能であるため、決して軽視できません。最悪の場合、アプリがクラッシュしたり、攻撃者が用意した不正なプログラムを実行されたりする恐れがあります。
Thunderbirdユーザーへの実際の影響はどの程度か
「メールソフトで動画なんて見ないけど大丈夫？」と思われるかもしれません。Thunderbirdは内部的にWebブラウザ（Firefox）と同じ仕組みで動いているため、状況によってリスクが変わります。
📧 メール読み取り時：リスクは低め
Thunderbirdは通常、メールを表示する際にJavaScriptなどのスクリプトが無効化されています。受信トレイの不審なメールを開いただけで即座に感染する可能性は、ChromeやFirefoxと比べて低くなっています。
🌐 RSSフィード・Webコンテンツ表示：リスクあり
以下の使い方では注意が必要です。
・ThunderbirdでRSSフィードを購読・表示している場合
・メール内のリンクからThunderbirdタブでWebページを表示した場合
・HTMLメールで動的コンテンツを許可している場合
⚠️ 「メールしか見ない」という過信は禁物
上記の「ブラウザ的な動作」をする場面では、悪意のある動画データ（VP8/VP9）が埋め込まれたページを読み込むことで攻撃を受ける可能性があります。万が一の誤操作に備えてアップデートしておくことがセキュリティの基本です。
Thunderbirdのアップデート手順（バージョン確認〜更新完了まで）
ご自身のThunderbirdが安全なバージョンか確認し、更新する手順を解説します。
✅ アップデート完了チェックリスト
- 通常版：バージョン 147.0.2 になっているか確認
- ESR版（企業・大学等の延長サポート版）：バージョン 140.7.2esr になっているか確認
- 115系統などより古いバージョンをお使いの場合：サポート状況は公式サイトでご確認ください
- Firefoxも併用している場合：Firefox 147.0.4 への更新も忘れずに
- PC再起動後に再度バージョン番号を確認する
注：PCをスリープし続けていたり、Thunderbirdを起動したままにしていると、自動更新が適用されていないことがあります。必ず手動で確認・再起動することをお勧めします。
Chrome・Firefox・Thunderbirdに波及するサプライチェーンリスクとは
今回の脆弱性（CVE-2026-2447）は、Thunderbird単独の問題ではありません。これは現代のソフトウェア開発における「サプライチェーン（供給網）リスク」の典型例です。
💡 サプライチェーンリスクは「共通部品の欠陥」
同じメーカーのブレーキ部品を使っている複数の自動車メーカーがあるとします。その部品に欠陥が見つかると、すべてのメーカーがリコール対応を迫られます。libvpxはまさにその「共通ブレーキ部品」であり、Chromeで欠陥が発見されると、時間差でThunderbirdやFirefoxにも影響が波及します。
Chromeから始まった修正の連鎖
今回の元凶である「libvpx」の脆弱性は、先にGoogle Chromeで発見・修正されました。
- 2026年2月初旬： Google Chromeで同様の脆弱性（CVE-2026-1861）が修正される。
- 2026年2月中旬： Chromeでの修正を受け、同じライブラリを使用しているFirefoxおよびThunderbirdにも修正パッチ（CVE-2026-2447）が適用される。
オープンソースの部品（libvpx）を共有しているため、Chromeで見つかった弱点は、時間差でThunderbirdにも波及する構造になっています。
⚠️ 過去には実際に悪用された事例あり：CVE-2023-5217の教訓
2023年に発見された同様のlibvpxの脆弱性（CVE-2023-5217）は、「ゼロデイ（修正前に攻撃される状態）」として、スパイウェアベンダーによって実際に悪用された実績があります。攻撃者は、セキュリティパッチが公開されてからユーザーがアップデートするまでの「空白期間」を狙います。Chromeで修正内容が公開された今、Thunderbirdユーザーを狙った攻撃コードが作られる可能性もゼロではありません。だからこそ、迅速な更新が必要です。
よくある質問（FAQ）
Q1. Thunderbirdを使っているだけでウイルスに感染する可能性はあるか？
メールを受信・一覧表示しているだけでは、感染する可能性は極めて低いです。Thunderbirdはメール表示時のスクリプト実行を制限しているためです。ただし、RSSリーダー機能やWebコンテンツ表示機能を使っている場合はリスクがあります。
Q2. 自動アップデートが有効なら何もしなくていいか？
基本的には自動で更新されますが、PCをスリープし続けていたり、Thunderbirdを起動したままにしていると更新が適用されていないことがあります。念のため、[ヘルプ]→[Thunderbirdについて]から手動で確認し、再起動することをお勧めします。
Q3. ESR版を使っている場合はどのバージョンに更新すればいいか？
ESR版をお使いの方は「140.7.2esr」へ更新してください。115系統などより古いバージョンをお使いの場合は、サポート状況が変わっている可能性があるため、Thunderbird公式サイトでご確認ください。
Q4. 深刻度「High」とはどの程度危険か？
Mozillaの基準では上から2番目の危険度です。「Critical（最高）」は放置すると即座に被害が出るレベルですが、「High（高）」はユーザーが特定のページを開くなどの操作をした場合に被害が出る可能性があるレベルです。十分に危険ですので、放置は推奨されません。
Q5. 今回の脆弱性はFirefoxにも関係があるか？
はい、大いに関係があります。ThunderbirdのベースはFirefoxと同じ技術で作られています。Firefoxでも同様の脆弱性が修正されたバージョン（147.0.4）がリリースされています。両方お使いの方は、Firefoxの更新も忘れずに行ってください。
まとめ：Thunderbird v147.0.2へ今すぐアップデートを
この記事では、Thunderbird v147.0.2のセキュリティ修正（CVE-2026-2447）について解説しました：
- 修正バージョンの確認：通常版は v147.0.2、ESR版は v140.7.2esr が対象です。それより古いバージョンをお使いの方は公式サイトでサポート状況をご確認ください。
バージョンの確認は [ヘルプ]→[Thunderbirdについて] から手軽に行えます。
- 脆弱性の内容：動画処理ライブラリ「libvpx」のヒープバッファーオーバーフローで、深刻度は High（4段階中2番目） です。
悪用されると、アプリのクラッシュや不正プログラムの実行につながる恐れがあります。
- 一般ユーザーへのリスク：メールの読み取りだけなら低リスクですが、RSSフィードやWebコンテンツ表示を使っている場合はリスクがあります。
「自分は大丈夫」という過信を避け、念のためアップデートしておくことが重要です。
- サプライチェーンリスク：今回の脆弱性はChromeで先に発見され、同じlibvpxを使うThunderbirdにも波及しました。
2023年の類似脆弱性（CVE-2023-5217）は実際にスパイウェアとして悪用された実績があり、迅速な対応が求められます。
セキュリティ事故は「自分は大丈夫」と思った隙を突いてきます。今すぐ [ヘルプ]→[Thunderbirdについて] からバージョンを確認し、最新版へアップデートして、安心してメールを利用しましょう。
パソコン・iPhone・スマホの初期設定から専門性の高い難しい設定まで「安心」「安全」にPCホスピタルにお任せできます！