Mozilla Foundationは2026年11月3日、脆弱性「CVE-2026-120572」を修正したFirefox 159.0.1を公開しました。脆弱性はFirefoxのレイアウト処理にあり、Mozillaは重要度を「高」と評価しています。
Firefox 159.0.1で脆弱性を修正
修正対象は「Layout: Block and Inline」コンポーネントに見つかった境界条件の不備です。
脆弱性の識別番号はCVE-2026-120572です。Security NEXTは、Mozillaのアドバイザリーで示された影響度「高」を、4段階中で上から2番目にあたる評価として紹介しています。
米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、この脆弱性のCVSS v3.1ベーススコアを8.8、重要度を「高」と評価しています。
ページの要素を配置するレイアウト処理
Firefoxのレイアウト処理では、ページ内の要素をフレームツリー（描画用の階層構造）として扱います。フレームツリーの各ノードは、通常は長方形として要素の表示領域を表します。
文字やブロック、表、フォーム部品など、要素の種類に応じてフレームの種類も異なります。CSSで非表示になった要素にはフレームがない一方、行やページをまたぐ要素は複数のフレームに分かれることがあります。
要素のスタイルが変わり、表示形式の変更などで必要になると、フレームは作り直されます。この構造を通じて、ブラウザーは要素の領域や画面に描画する範囲を扱います。
CVSSベーススコアの見方
CVSS v3.1は、ソフトウェアなどの脆弱性の特徴と深刻度を伝えるための評価方式です。ベーススコアは脆弱性に固有の性質を評価し、0から10までの値で示します。
ベース評価は、攻撃のしやすさを表す指標と、攻撃が成功した場合の直接的な影響を表す指標から算出されます。CISAが示した8.8は、このベーススコアにあたります。
CVSSには、時間とともに変わる要素を反映する「時間的評価」と、利用者ごとの環境や対策を反映する「環境評価」もあります。これらを加えると、個別の環境に応じた評価ができます。
修正版Firefoxの公開
脆弱性の対象はブラウザー全体ではなく、ブロック要素やインライン要素を扱うレイアウトコンポーネントです。CSSの表示形式や要素の配置に関わる処理が修正対象です。
