Firefox 148.0.2の修正内容と148の新機能｜AI制御と脆弱性54件の内訳

Firefox 148は2026年2月24日に配信が始まり、3月10日の148.0.2を挟んで、3月24日の149.0で更新が終わったバージョンです。148.0.2は不具合6件と脆弱性3件を直した修正版で、148.0で入った変更が原因の退行がほとんどでした。

この記事は148系に絞り、公式リリースノートとMozillaのセキュリティアドバイザリ（MFSA）を一次情報に整理します。2026年10月25日時点の最新版は158.0.1（10月20日公開）です。今使っているFirefoxを最新にする手順はFirefoxの最新版と更新方法をまとめた記事にまとめています。

まとめ：Firefox 148と148.0.2で変わった点

• 148.0.2の修正：YouTubeの自動再生ブロックが効かない、Web上のリッチテキストエディタで太字が付かない、NVIDIAの超解像（VSR）で動画が粗くなる、など6件。いずれも148（1件は147）で混入した退行です。
• AI制御：設定画面に「AI 制御」が加わり、翻訳・PDFの代替テキスト生成・タブグループの提案・リンクプレビューの要点生成・サイドバーのチャットボットを個別に、または一括でブロックできるようになりました。
• AI以外の変更：Mozillaが配信する設定変更（リモート改善）を、利用統計の送信を止めたままでも受け取れるようになりました。Windows 10のバックアップ機能の対象拡大、繁体字中国語とベトナム語の翻訳追加も148.0の変更です。
• 脆弱性：148.0で51件、148.0.2で3件の計54件。148.0分のうち22件はAnthropicのClaudeを使った報告でした。悪用確認の記載はありません。
• 開発者向け：Trusted Types APIとSanitizer API（setHTML()）が有効になりました。Trusted TypesはChrome 83・Safari 26に続く対応で、主要3エンジンで使えるようになりました。
• 148のまま使う場合：148系へのセキュリティ更新は終了しています。149.0から158.0.1までに延べ563件の脆弱性が直っているため、サポート中の版へ更新してください。

148.0から148.0.2までのリリース履歴

Mozillaの版データ（product-details）とリリースノートによる148系の配信履歴です。デスクトップ版の148.0.1は存在せず、148.0の次は148.0.2です（148.0.1のリリースノートURLは404を返します）。

148.0と同じ日に、延長サポート版のESR 140.8.0とESR 115.33.0も公開されました。148.0のメモリ安全性修正のうち2件（CVE-2026-2792・CVE-2026-2793）はESRにも入っています。「Firefox ESR 148」という版は無く、148の時期に法人向けで使われていたのはESR 140系です。

148.0.2で直った6件の不具合と原因

148.0.2のリリースノートに載った6件を、Bugzillaの記録と照らした一覧です。6件ともBugzillaで「regression（退行）」に分類されており、新機能の追加ではなく、147または148で発生した不具合を直す修正でした。

エディタが壊れた原因はabout:blankの読み込み方の変更

Bug 2020927の報告は、Vaadinが使うGWTのRichTextAreaで太字や斜体のボタンが効かなくなったというもので、原因は148.0のBug 543435でした。iframeの最初のabout:blankを非同期の読み込みで置き換えず、同期的に完了させる変更です。148.0のリリースノートでは「最初のabout:blank文書がWeb互換になった」と書かれた項目にあたります。

iframeの中身を編集領域として使う古いエディタは、この置き換えを前提に初期化していたため動かなくなりました。148.0.2はCKEditor 4向けに入れていた互換処理をGWTにも広げて対処しています。同じ原因で、ManageEngine ServiceDesk Plus旧版のエディタが空白のままになる不具合（Bug 2020668）も報告されましたが、こちらは148では修正されず149で直りました。社内の業務システムで148以降だけエディタが動かない場合は、iframe型エディタかどうかを先に疑うと切り分けが早くなります。

NVIDIA VSRで動画の文字がぼやける不具合

NVIDIAのドライバ機能「RTX Video Super Resolution（VSR）」を有効にしたWindows環境で、148.0の動画は147より文字の輪郭が甘くなっていました（Bug 2019515）。報告者は1080pの配信を1440pの画面で全画面表示して比較しており、YouTubeでも同じ症状が出ています。原因は148で有効化されたWebRenderの描画合成の変更（Bug 2007464）で、148.0.2で修正されています。現在はサポート中の版へ更新してください。

Firefox 148の新機能：設定画面の「AI 制御」

148.0の目玉は、AIを使う機能をまとめて管理する設定パネルです。設定画面の左側に「AI 制御」が加わり（アドレスバーに about:preferences#ai と入力しても開けます）、「AI 支援をブロックする」をオンにすると、現在と今後追加されるAI機能、それらの案内ポップアップが表示されなくなります。

ブロックできる5つの機能と3つの状態

148のソースと日本語の設定画面の表記を突き合わせると、個別に切り替えられる機能は次の5つです。

各機能は「利用可能」「有効」「ブロック」の3状態を取ります。設定画面の説明では、ブロックすると機能が表示されず、ダウンロード済みの端末上のAIモデルも削除されます。一括ブロックはFirefoxが提供するAIを使う拡張機能にも及びます。ただし、拡張機能が独自に利用する外部AIサービスまでは停止しません。ディスク上のモデルを消したい場合は、about:configで値を書き換えるより、設定画面のトグルを使ってください。148のソース（aiFeatures.mjs）では、トグルを操作したときの処理に、端末上モデルの機能の無効化と、拡張機能向けAI（extensions.ml.enabled）の停止が含まれています。

about:configにある browser.preferences.aiControls は、このパネルを設定画面に表示するかどうかのフラグです（148の既定値はtrue）。falseにするとパネルが見えなくなるだけで、AI機能は止まりません。

管理者がポリシーで止める場合の設定

組織で一括管理する場合は、エンタープライズポリシーを使います。148の実装では、GenerativeAI ポリシーが扱うのはチャットボット・リンクプレビュー・タブグループの3機能だけで、翻訳は別ポリシーの TranslateEnabled で止めます。PDFの代替テキスト生成は GenerativeAI の対象外です。これも管理者が停止する場合は、148向けポリシーテンプレートの公開記録にあるとおり、Preferences ポリシーで browser.ai.control.pdfjsAltText を文字列「blocked」、pdfjs.enableAltText を真偽値falseに設定し、両方をロックします。

{
  "policies": {
    "GenerativeAI": {
      "Enabled": false,
      "Locked": true
    },
    "TranslateEnabled": false
  }
}

このJSONを、Windowsではインストールフォルダー内の distribution/policies.json、macOSでは Firefox.app/Contents/Resources/distribution/policies.json に保存してFirefoxを再起動すると、3機能と翻訳の browser.ai.control.* が「blocked」に固定され、利用者は設定画面から戻せなくなります。GenerativeAI の Locked を省くと、その対象の3機能は利用者が個別にオンにできます。ただし、TranslateEnabled による翻訳のブロックは固定されたままです。Linuxでシステムポリシーに対応したビルドは /etc/firefox/policies/policies.json を先に読みます。適用されたかどうかは about:policies で確かめられます。

AI制御以外の148.0の変更：リモート改善・バックアップ・翻訳

148.0のリリースノートには、AI制御のほかに一般利用者向けの新機能・改善が5件、不具合修正が2件あります。設定画面の見え方が変わるのは、次のリモート改善の項目です。

リモート改善の設定がテレメトリーから独立

リモート改善は、Firefoxの本体を更新しなくても、Mozillaが機能・性能・安定性の調整を遠隔で配信する仕組みです。147までは、利用統計（テレメトリー）の送信や「調査」への参加を止めると、リモート改善も受け取れませんでした。148では「プライバシーとセキュリティ」の「Firefox のデータ収集と利用について」に、独立したチェックボックス「更新間で Firefox の機能、パフォーマンス、安定性の向上を許可する」が加わりました。148のソースでは、このチェックボックスに対応する設定名は nimbus.rollouts.enabled（既定値true）です。

組織で止めたい場合は、148で加わったエンタープライズポリシー DisableRemoteImprovements を使います（147の Policies.sys.mjs には存在しません）。リモート改善を無効にしても、Firefox本体の更新は止まりません。なお、148ではこのポリシーの適用状態が設定画面に正しく表示されない既知の不具合があるため、適用状況は about:policies で確認してください。設定の意味と、以前に調査への参加を止めていた環境で自動的にオフになる理由は、最新版ハブ記事のリモート改善の節で扱っています。

バックアップ・翻訳・PDF読み上げなどのその他の変更

• Firefox Backup：146でWindows 10に入った毎日の自動バックアップを、「Firefox の終了時に履歴を消去する」を使う人も使えるようになりました。終了時に消す設定のデータはバックアップに含まれません。
• 翻訳：繁体字中国語との双方向翻訳と、ベトナム語への翻訳が加わりました。
• PDF：PDFに埋め込まれた数式を、スクリーンリーダーで読み上げやすくなりました。
• 新しいタブ：新しいタブの壁紙が、コンテナータブで開いた新しいタブにも表示されるようになりました。
• 修正：メジャー更新後に言語パックが無効になり、意図しない言語で表示される不具合と、Windowsでダウンロードした画像をAdobe Illustratorへドラッグすると画像ではなくURLが入る不具合が直りました。

Firefox 148系で修正された脆弱性54件の内訳

MFSA 2026-13とMFSA 2026-19に記載されたCVE項目を、深刻度（Impact）別に集計しました。148系に「critical」は無く、悪用を確認したという記載もありません。

148.0の51件のうち22件はClaudeによる報告

MFSA 2026-13の報告者欄を見ると、51件のうち22件に「using Claude from Anthropic」と記されています。内訳はhigh 14件・moderate 7件・low 1件で、JavaScriptエンジン（JIT・GC・WebAssembly）とDOMの解放後使用（use-after-free）が中心です。サンドボックス脱出は51件中5件あり、こちらはWebRenderやIndexedDBなどで、5件ともClaude以外の報告者による発見でした。AIによる脆弱性発見がその後どう広がったかは、Claude Mythosの脆弱性発見と提供停止の経緯を解説した記事で扱っています。

148.0.2の脆弱性修正：Android動画再生・CSS・メモリ安全性

• CVE-2026-3845：Android版Firefoxの動画再生部分のヒープバッファオーバーフロー。デスクトップ版は対象外です。
• CVE-2026-3846：CSSの解析・計算処理を使った同一オリジンポリシーの回避。別サイトのデータを読み取られる恐れがある種類の不具合です。
• CVE-2026-3847：148.0に残っていたメモリ安全性の不具合のまとめ。MFSAには、一部にメモリ破損の痕跡があり、手間をかければ任意コード実行に至る可能性があると書かれています。

Web開発者向けの変更：Trusted Types・Sanitizer APIほか

148.0で有効になったWeb機能のうち、既存サイトの挙動や実装方針に関わるものです（MDNの開発者向けリリースノートより）。

• Trusted Types API：innerHTML などXSSの入口になるプロパティに、ポリシーの変換関数を通した値しか渡せないよう強制できます。ただし、Trusted Types自体が危険なHTMLを除去するわけではなく、変換関数に適切なサニタイズ処理を実装する必要があります。MDNの互換性データではChrome 83・Safari 26が先行しており、148でCSPの require-trusted-types-for がFirefoxでも効くようになりました。
• Sanitizer API：Element.setHTML() と Document.parseHTML() で、危険な要素や属性を取り除いてからHTMLを挿入できます。setHTML() はChrome 146でも使えますが、Safariは未対応です。MDNの互換性データには、Firefoxでは許可リストを独自に設定したときに <base> 要素が除去されず、相対URLを書き換えられる余地があるとの注記があります。
• CSS：アンカー位置指定の position-try-order、図形を描く shape() 関数が既定で有効に。画像などの置換要素にも overflow が効くようになりました。アンカー位置指定の基本はCSS Anchor Positioningの使い方を解説した記事にまとめています。
• JavaScript：複数のイテレータを位置で束ねる Iterator.zip() と Iterator.zipKeyed() に対応しました。
• その他のAPI：埋め込み元のオリジンを返す location.ancestorOrigins、Navigation APIの NavigationPrecommitController.addHandler()、WebGPUのService Worker対応が加わりました。

前述の about:blank の同期化は、iframeを動的に作って中身を書き込むコードに影響します。148以降、iframeの最初のナビゲーションが about:blank になる場合（URL未指定を含む）は、その文書の load イベントが同期的に発火します。「iframeを作った後で load を待ってから書き込む」実装は、待ち方を見直してください。後続版のうちFirefox 155の開発者向け変更はFirefox 155の開発者向け変更点の記事で扱っています。

148のまま使う場合のリスクと更新手順

149.0から158.0.1までに直った脆弱性は延べ563件

149.0（2026年3月24日）以降、148系への修正は出ていません。Mozillaの既知の脆弱性一覧で149.0から158.0.1までのデスクトップ版アドバイザリを数えると19本、記載されたCVEは延べ563件でした（Android版だけが対象のMFSA 2026-73とMFSA 2026-116は除外）。148系には無かった最高の深刻度「critical」も、150.0.1で1件、152.0.6で2件出ています。後続版で直った件数の合計なので、563件すべてが148に影響するとは限りませんが、148系には追加のセキュリティ修正が提供されないため、サポート中の版へ更新してください。

バージョンの確認と更新の操作

Windowsではメニュー（≡）から「ヘルプ」→「Firefox について」、macOSでは画面上部の「Firefox」メニューから「Firefox について」を開くと、使っているバージョンが表示され、同時に更新の確認が始まります。ここで更新すると148.0.2ではなく、その時点の最新版になります。Linuxでディストリビューションのパッケージ（apt・dnf）やSnapから入れたFirefoxは、更新をOS側が管理するため、それぞれのパッケージマネージャで更新します。手順の詳細は最新版ハブ記事の更新方法の章にまとめています。

古いOSとESRの扱い

Windows 7〜8.1とmacOS 10.12〜10.14では通常版を148に更新できず、ESR 115系が配布されます。この延長サポートはMozillaのリリース予定表で2027年3月までとされています。148の時期に法人向けで使われていたESR 140系は、2026年9月29日の140.17.0が最後の更新で、10月20日時点のESRは153.5.1です。ESR 140のまま運用している端末は、ESR 153への移行を急いでください。

検証のために148.0.2そのものが必要な場合は、Mozillaのアーカイブ（archive.mozilla.org/pub/firefox/releases/148.0.2/）から入手できます。148.0.2を固定して再現確認する場合は、通常利用と分離した検証環境で更新設定を管理してください。旧版を日常の閲覧や業務ログインに使わないでください。

よくある質問

Firefox 148はいつリリースされましたか？

148.0は2026年2月24日、修正版の148.0.2は3月10日に公開されました。3月24日に149.0が出て、148系の更新は終わっています。

Firefox 148.0.1はありますか？

デスクトップ版にはありません。Mozillaの版データでもリリースノートでも、148.0の次は148.0.2です。

Firefox 148.0.2では何が修正されましたか？

YouTubeの自動再生ブロック、リッチテキストエディタの書式、NVIDIA VSRの画質、中央配置の崩れ、ホーム画面の検索欄、「タブを切り替え」候補の6件の不具合と、深刻度highの脆弱性3件です。

Firefox 148のAI機能を無効にするにはどうすればよいですか？

設定の「AI 制御」で「AI 支援をブロックする」をオンにします。ダウンロード済みのモデルも削除されます。組織では GenerativeAI でチャットボット・リンクプレビュー・タブグループを、TranslateEnabled で翻訳を制御できます。ただし、148ではこの2つのポリシーだけでPDFの代替テキスト生成までは止められません。

Firefox ESR 148はありますか？

ありません。ESRは140の次が153で、148の時期の法人向けはESR 140.8.0でした。148.0の修正の一部はESR 140.8.0と115.33.0にも入っています。

関連記事

• Firefoxの最新版は158（2026年10月）｜バージョン確認・更新方法とESR版との違い
• Firefox 147の新機能と変更点｜WebGPU・XDG対応と147.0.4までの修正・脆弱性
• Firefox 155の開発者向け変更点｜今すぐ使える機能と既存サイトが壊れる3点
• Claude Mythos 脆弱性1万件超｜提供停止・再開と企業の初動
• CSS Anchor Positioningの使い方｜position-area・@position-tryと対応ブラウザ