趨勢新聞TREND NEWS
Firefox 瀏覽器開著英文維基百科的 Firefox 條目，右側資訊框有 Firefox 標誌
示意圖，Firefox 157.0 開啟維基百科的畫面，不是本次更新的版本。SimiPersy 截圖，CC0，Wikimedia Commons，本站裁切為 16:9。
資安FirefoxThunderbird

Firefox 159 一次修補 167 個安全漏洞、108 個高風險，ESR 153.6、115.44 與 Thunderbird 同步更新；外部通報署名最多的是 OpenAI Codex Security 的 34 個

趨勢新聞2026 年 10 月 28 日

用 Firefox 上網、Thunderbird 收信的人，這週要更新了。Mozilla 10 月 27 日發布 Firefox 159，一次修補 167 個安全漏洞：108 個「高」風險、52 個中、7 個低，沒有最高的「重大」等級。延長支援版 ESR 153.6、115.44 與 Thunderbird 159、153.6 同日更新。漏洞是程式裡可能被攻擊者利用的缺陷；五份公告都沒寫有漏洞已遭實際利用。本站的讀法：不必恐慌，確認版本、重新啟動就好。Windows 版 Thunderbird 更該早點更新，有兩個漏洞光是顯示特製的信，就可能外洩 Windows 身分驗證資料。

我該更新到哪一版

  • 一般 Firefox：159。Windows 點右上角選單 →「說明」→「關於 Firefox」，Mac 點螢幕頂端「Firefox」→「關於 Firefox」，出現重新啟動的按鈕就按，重開後再看一次版本。
  • 用 ESR 的：ESR 多半由公司資訊人員統一安裝。看版本開頭，153 開頭的要到 153.6，115 開頭的要到 115.44。Firefox 159 版本說明頁寫，一般版已不支援 Windows 8.1 以下與 macOS 10.14 以下，頁上給這些電腦的下載是 ESR 115，即這次的 115.44。
  • Thunderbird：一般版 159、延長支援版 153.6，Windows 從「說明」→「關於 Thunderbird」、Mac 從頂端「Thunderbird」→「關於 Thunderbird」檢查更新，重新啟動後確認版本。
  • 例外：Firefox 或 Thunderbird 若是從應用程式商店、Linux 套件或由公司統一管理安裝，依各自管道更新。
  • 手機：這批公告以電腦版為主，Firefox 159 清單只有一筆 Android 漏洞；手機請在應用程式商店更新。

「高風險」代表什麼

Mozilla 的等級定義寫，高風險漏洞「可用來從其他視窗中的網站蒐集敏感資料，或把資料或程式碼注入那些網站，只需要一般的瀏覽動作」（本站譯）。本站的讀法：拿網銀打比方，這是惡意網頁可能讀到或改動網銀分頁內容的那一類風險；這 108 個各要什麼條件，公告沒交代。最多的類型是「釋放後使用」（use-after-free，記憶體已歸還，程式又拿來用），共 97 個。

167 不能直接跟幾年前比。公告開頭寫：「我們不再把內部發現的記憶體安全漏洞併成一個 CVE，現在每個漏洞各發一則公告」（本站譯）。CVE 是漏洞的國際統一編號，以前一個編號可能包好幾個問題。同樣算法下，10 月 13 日的 Firefox 158 修了 77 個。

誰通報的：102 筆署名 Mozilla，41 筆署名含 OpenAI

167 筆裡，102 筆署名 Mozilla。外部署名最多的是「OpenAI Codex Security (kylebot)」34 筆，全是高風險；另有 7 筆署名「Amy Burnett of OpenAI」，合計 41 筆。兩週前的 Firefox 158，Codex Security 署名 0 筆，Amy Burnett 9 筆。公告沒說 kylebot 是人員還是工具帳號，也沒說是否用了 AI、用了多少。

同日的 Chrome 156 修了 52 個漏洞，4 筆署名 OpenAI Codex Security，6 筆明寫由 Anthropic 的 Claude 協助。本站的讀法：Chrome 那 6 筆說明 AI 工具已參與找瀏覽器漏洞；Firefox 公告沒交代，不能說這 167 個是 AI 找到的，也不能說漏洞變多是 AI 造成的。

Thunderbird 159 另列 7 個，跟收信有關

Thunderbird 159 修了 173 個，166 個與 Firefox 159 共用，7 個是郵件、行事曆與聊天功能專屬。Mozilla 寫，共用的漏洞「很多無法透過電子郵件利用，因為讀信時腳本是關閉的，但在瀏覽器或類似瀏覽器的情境仍可能有風險」（本站譯；腳本指網頁裡自動執行的程式碼）。7 個裡 5 個高風險，兩個跟「顯示一封信」有關：一是信裡的 OpenPGP 金鑰附件（郵件加密用）被標成指向外部網址，Thunderbird 顯示時會自動去讀；二是特製郵件能讓 Thunderbird 連到攻擊者的網路分享資料夾。在 Windows 上，兩者都可能外洩 NTLM 驗證資料。NTLM 是 Windows 的身分驗證機制，外洩的不是明文密碼；第二個的公告寫，資料可能被拿去離線猜解密碼，或轉交其他服務冒用身分。

還有一個碰得到日常操作：回覆、轉寄或把特製的信「當作新郵件編輯」時，可能混入同資料夾另一封信的部分內容，若按下寄出，收件人就會看到。本站的讀法：如果電腦用的是公司統一管理的 Windows 網域帳號，外洩的可能是公司帳號的驗證資料，實際仍看帳號與驗證設定；請資訊人員優先更新。

公告沒交代的

Firefox 159 公告沒有逐筆提供觸發與利用條件，也不列獎金，所以本文沒有新台幣換算。

原文 MFSA 2026-118〈Security Vulnerabilities fixed in Firefox 159〉（2026-10-27），167 個漏洞的等級、類型、通報者與計數方式說明取自此頁，數字為本站逐筆統計； MFSA 2026-119（ESR 115.44）、MFSA 2026-120（ESR 153.6），版本號取自此處； MFSA 2026-121（Thunderbird 159）、MFSA 2026-122（Thunderbird 153.6），Thunderbird 專屬漏洞的說明與「讀信時腳本關閉」一句取自此處； Mozilla 安全公告索引，等級定義取自此頁； MFSA 2026-106（Firefox 158，2026-10-13），比較用的 77 個與通報者統計取自此頁； Firefox 159 版本說明，舊版 Windows 與 macOS 改用 ESR 的說明與 ESR 115 下載按鈕取自此頁。