Thunderbird 149の新機能と不具合｜149で起きた不具合・直った版とCVE53件の内訳

Thunderbird 149.0は2026年3月24日に公開されたRelease版です。選択した連絡先だけを書き出す機能と、Exchange（EWS）アカウントのスターをサーバーに保存する機能が入り、不具合修正23件と脆弱性48件の修正が同時に配布されました。一方で、149に上げてからカレンダーの週表示の軸が入れ替わる、アカウントが二重に表示されるといった不具合も起きており、これらは149.0.1・149.0.2では直らず、150.0以降で修正されています。この記事では、149系で直ったものと149で起きたものの両方を、149.0の公式リリースノート、Mozillaのセキュリティアドバイザリ（MFSA）、Bugzillaの記録で照合して整理します。現在の最新版と更新方法は「Thunderbirdの最新版と確認・更新方法」で扱っています。

まとめ：Thunderbird 149系の要点

• 公開日：149.0が2026年3月24日、149.0.1が3月26日、149.0.2が4月7日で、いずれもRelease版です。4月21日の150.0で149系の更新は終わりました。
• 新機能は2つ：アドレス帳で選んだ連絡先だけをCSV・TSV・vCard・LDIFで書き出せるようになり、EWSアカウントで付けたスターが他の端末にも残るようになりました。
• 直った不具合は23件：「メール送信後」のフィルターが動かない、POP3の接続拒否がエラー表示されない、「テキストエンコーディングを修復」で宛先と添付ファイルが二重に表示される、などです。
• 149で起きた不具合もある：カレンダーの週・日表示で日付と時刻の軸が入れ替わる不具合は150.0、メッセージ内検索（Ctrl+F）の件数が出ない不具合は151.0で直りました。149.0.1と149.0.2では直っていません。
• 脆弱性修正は計53件：149.0でMFSA 2026-23の48件（high 21・moderate 20・low 7）、149.0.2でMFSA 2026-28の5件（すべてhigh）。
• 149は現行版ではありません：2026年10月20日公開の158.0.1がRelease版の最新、ESR版は153.5.1です。150以降のRelease版ではアドバイザリ13本・CVE延べ506件の修正が出ています。

149.0・149.0.1・149.0.2のリリース日と中身

149系はベータ版149.0b1（2026年2月26日）から始まり、正式版の149.0、安定化版の149.0.1と149.0.2の3回で終わりました。Release版は次のメジャー版が出た時点で前の版への更新が止まるため、149系が修正を受けたのは150.0までの4週間です。

149.0.1のリリースノートには「There are no Thunderbird changes requiring release notes in this release」とだけ書かれています。Bugzillaの記録を見ても、次章で挙げる149の不具合の修正は149.0.1・149.0.2には収録されず、150.0以降に回っています。動作環境は3版とも共通で、Windows 10以降、macOS 10.15以降、LinuxはGTK+ 3.14以上です。同じ日に出たESR版は140.9.0（3月24日・MFSA 2026-24で40件）と140.9.1（4月7日・MFSA 2026-29）で、脆弱性の修正は同時に入りますが149の新機能は入りません。

149.0の新機能：選択した連絡先の書き出しとEWSのスター保存

アドレス帳で選択した連絡先の書き出し形式とメニューの表示条件

「Enable exporting selected address book cards」は、Bugzillaのバグ20304として1999年11月30日に登録された要望です。149より前は、書き出しの単位がアドレス帳まるごとか、メーリングリスト単位でした。1人分だけ渡したいときは、新しいアドレス帳を作って連絡先をコピーし、そのアドレス帳ごと書き出すしかありませんでした。

149.0では、アドレス帳の一覧で連絡先を選び、右クリックメニューの「エクスポート…」から書き出せます。変更を取り込んだcomm-centralのコミット（Bug 20304）のテスト（browser_export.js・browser_contact_tree.js）で確かめられている動きは次のとおりです。

• 形式はCSV・TSV（タブ区切り）・vCard・LDIFの4つで、アドレス帳まるごとの書き出しと同じ選択肢です。
• 1件だけ選ぶとその連絡先の名前が、複数選ぶと「Contacts」がファイル名の候補になります。
• 連絡先と一緒にメーリングリストを選ぶと、メニューの「エクスポート…」は表示されません。メーリングリスト1つだけを選んだ場合は、従来どおりリスト単位で書き出せます。

別のメールソフトやスマートフォンへ数件だけ移すならvCard、表計算ソフトで宛先を確認するならCSVを選びます。

EWSアカウントのスターのサーバー保存と他の端末への反映条件

「Starred EWS messages now persist across devices」は、Exchangeに接続するEWSアカウントでの変更です（バグ1995405）。148までは、スターはThunderbirdのローカルにしか記録されず、別のPCや別のプロファイルからは見えませんでした。149.0からは、スターを付けるとEWSのUpdateItem操作でメッセージのFlag.FlagStatusをFlaggedに、外すとNotFlaggedに設定します。サーバー側の状態なので、同じメールボックスを開く別のThunderbirdにもスターが反映されます。IMAPアカウントのスターはこの変更と関係ありません。

アドレス帳の新規作成画面のアカウントハブへの一本化

「Address books are now created in Account Hub」は、アドレス帳を新しく作る画面の変更です（バグ1991626）。メールアカウントの追加で先に導入されたアカウントハブが、149.0からアドレス帳の作成でも既定になり、設定にあった「実験的機能」のチェックボックスは削除されました。CardDAVなどのリモートアドレス帳も、メールアカウントと同じ画面から追加します。

149.0で直った不具合23件の症状と影響を受けていた利用者

「What’s Fixed」には23件の個別修正と、「Visual and UX improvements」「Security fixes」が並んでいます。

送信後フィルター・POP3・EWSの送受信に関する修正

影響が大きかったのは送信後フィルターです。Bugzillaでは「Filter after sending not working any more」と報告された回帰で、146と148が影響あり、ESR 140は影響なしと記録されています。送信済みメールを案件別フォルダーへ移すフィルターを組んでいた場合、146〜148のRelease版では振り分けが止まっていた可能性があります。POP3の修正は、サーバーが接続を拒否したときにエラーダイアログを出すもので、それまでは受信できないのに何も表示されませんでした。

S/MIME・OpenPGPの暗号化メールと証明書に関する修正

• Gmailのクライアントサイド暗号化（CSE）で送られた暗号化メールが読めない：外側を不透明（opaque）なS/MIMEで包む三重ラップの形式で起きていました（バグ2002546）。
• S/MIMEの「CSRファイルを生成して保存」が動かない：ファイル選択画面が出ず、証明書の発行申請に使うCSRを作れませんでした（バグ2003468）。
• 失効した証明書の失効理由が表示されない：失効していることは分かっても、鍵の漏えいなのか置き換えなのかが分かりませんでした（バグ1666599）。
• OpenPGP署名付きメッセージの「開いて表示」が失敗する：Content-Typeより後ろにヘッダーがある場合に起きていました（バグ2016119）。

文字化けの修復・フォルダー・カレンダーに関する修正

• 「テキストエンコーディングを修復」で宛先と添付ファイルが二重に表示される：文字化けしたメールを直そうとすると、ヘッダー欄の表示が重複していました（バグ2009143）。文字化けの仕組みそのものは「ISO/IEC 10646（UCS）とUnicodeの違いと文字コード」で、UTF-8とShift_JISの読み違いを再現しています。
• ごみ箱フォルダーが確認なしで消える：フォルダーツリーでごみ箱を選んだ状態でDeleteキーを押すと、警告なしに削除されていました（バグ1912998）。
• 統合フォルダーの名前を変えると複製ができる：名前が変わらず、同じフォルダーが増えていました（バグ532643）。
• Gmailの予定のリマインダーを閉じても消えない：Gmailのサーバーが400を返し、リマインダーが残り続けていました（バグ1921611）。
• ほかに：ダークテーマでリンクの色が読みにくい、作成画面の「すべて置換」がダイアログを閉じるまでテキスト本文に反映されない、カレンダーの公開が空のダイアログで止まる、ローカルカレンダーをHTMLで書き出せない、なども直っています。

「Remove message body retention policy was not functional」は、ニュースグループ（NNTP）の保存設定にあった「○日より古いメッセージの本文を削除する」の扱いです。削除のパッチには「This has never been implemented in a way to be functional.」とあり、149.0では修正ではなく項目そのものが削除されました（バグ499301）。149.0で使えなくなった機能はありません。

149で起きていた不具合と直った版

149.0で直った不具合とは別に、149で新たに起きた不具合や、149でも直っていなかった不具合があります。Bugzillaで「149に影響あり（cf_status_thunderbird_149=affected）」と記録され、その後に修正されたバグを、150〜153の各リリースノートと照合したのが次の表です。いずれも149.0.1・149.0.2では直っておらず、149系のまま待っても解消しません。

題名に149が入っているのはカレンダーの不具合です。バグ2027673の題名は「After upgrade to version 149 the week (and day) view of the calendar is showing the date and time axis swapped」で、149へ更新した直後から週表示・日表示の縦軸と横軸が入れ替わっていました。コメント18の再現手順では、148以前で「Rotate View（ビューを回転）」を一度オンにしてからオフに戻していた環境が、149へ上げると回転した表示になります。149のまま直すには、コメント3の案内どおり「View → Calendar → Current View → Rotate View」で回転を切り替えます。150.0のリリースノートに「Calendar view had date and time axes swapped」として修正が載っています。ESR 140は影響なしと記録されているため、同じ時期でもESR版を使っていた組織では起きていません。

メッセージ内検索の件数とタスクの右クリックメニューは150でも直っておらず、151.0（5月19日）まで残りました。起動時の既定アプリ確認は、151.0のリリースノートでは「Reinstated default application check when Thunderbird starts」と「変更」の欄に載っています。149と150では、起動時に既定のメールソフトにするかを尋ねる確認が出ませんでした。迷惑メール前の新着通知は149に「wontfix（この版では直さない）」と記録され、152.0（6月16日）で直っています。

直った版の欄は、150.0・151.0・152.0の各リリースノートに該当する項目があるものはそれに合わせました。インライン画像（1945321）・multipart/mixed（1628441）・添付アイコン（2000899）はリリースノートに個別の記載が無く、Bugzillaの修正先マイルストーン（150・152・153）から判断しています。マイルストーンは修正が入った開発版（Daily）の番号で、ベータを経てその番号の正式版に収録されるのが通常の流れです（バグ2027673のコメント23）。表の「直った版」は最初に修正が入った版です。更新するときは150や151で止めず、現在の最新版（2026年10月23日時点でRelease版158.0.1、ESR版153.5.1）まで上げてください。

MFSA 2026-23のCVE48件の内訳と、メールで悪用されにくい理由

149.0の脆弱性修正はMFSA 2026-23にまとまっています。アドバイザリの48件のCVEごとにImpact欄を数えた内訳は次のとおりです。

48件の大半はFirefox 149と共通のブラウザエンジン（Gecko）側の修正で、アドバイザリの冒頭には「In general, these flaws cannot be exploited through email in the Thunderbird product because scripting is disabled when reading mail, but are potentially risks in browser or browser-like contexts.」とあります。メールの表示ではスクリプトが動かないため、メールを開いただけでは多くの脆弱性が発火しません。危険が残るのは、アドオンやRSSの表示、Webページを開くタブなど、ブラウザに近い使い方をしている場面です。Firefox側の同じ修正の扱いは「Firefoxの最新版と確認・更新方法・ESR版との違い」で確認できます。

スクリプト無効でも受信だけで対象になるCVE-2026-4371

例外がThunderbird固有のCVE-2026-4371（high）です。IMAPの応答を解析する処理の境界外読み取りで、アドバイザリには「A malicious mail server could send malformed strings with negative lengths, causing the parser to read memory outside the buffer.」とあります。悪意あるメールサーバー、または乗っ取られたサーバーや通信経路から負の長さを含む文字列を送られると、クラッシュやメモリ上の情報の漏えいにつながるおそれがありました。スクリプトの有無に関係なく、IMAPで受信するだけで対象になる点が他のCVEと違います。通信経路での改ざんを防ぐには、IMAPをTLSで接続しておくことが前提です（TLSの版の選び方は「TLSとは？SSLとの違いとバージョン選定」）。

Thunderbird固有分はほかにCVE-2026-3889（なりすまし・low）の1件です。Gecko側ではCVE-2026-4688（アクセシビリティAPIのuse-after-freeによるサンドボックス回避・high）とCVE-2026-4725（Canvas2Dのuse-after-freeによるサンドボックス回避・moderate）が、サンドボックスの外に出られる種類として目立ちます。

149.0.2で追加されたMFSA 2026-28の5件

149.0.2（4月7日）はMFSA 2026-28の5件を修正しました。5件ともhighで、テキスト描画の整数オーバーフローを伴う境界条件の誤り（CVE-2026-5732）、WebGPUの境界条件の誤り（CVE-2026-5733）、メモリ安全性のバグ3件（CVE-2026-5731・5734・5735）です。149.0で止めている端末には、この5件も残っています。

149のまま使っている端末の確認と更新時の注意

149系への更新は149.0.2で終わり、その後Release版は150から158まで進みました。2026年10月23日時点で、150以降のRelease版向けのアドバイザリは13本・CVE延べ506件で、最新の158（MFSA 2026-109）だけで80件、158.0.1（MFSA 2026-114）で8件が追加されています（一覧はMozillaのThunderbirdの既知の脆弱性）。これは後続版のアドバイザリに載った件数で、149系に存在する脆弱性の件数ではありません。ただし149.0.2で止まっている端末が、これらの修正版を1つも受け取っていないことは確かです。自動更新が止まる原因（OSの要件、ストア版、企業ポリシー）の切り分けは「Thunderbirdの最新版と確認・更新方法」の更新章を参照してください。

端末の版と配布元の現行版を照合する確認コマンド

画面から確認するなら「ヘルプ」メニューの「Thunderbirdについて」です。台数が多い環境では、Mozillaのproduct-detailsが公開するJSONで配布元の版を取り、端末の版と突き合わせます。先頭2つはmacOS・Linuxのシェル（bashやzsh）でcurlとjqが入っている前提で、$とPS>はプロンプトなので入力しません。端末側のコマンドは既定のインストール先を想定しており、別の場所に入れた場合やLinuxでthunderbirdにPATHが通っていない場合はパスを置き換えてください。

# 配布元の現行版（2026年10月23日に取得した値）
$ curl -s https://product-details.mozilla.org/1.0/thunderbird_versions.json \
    | jq -r '.LATEST_THUNDERBIRD_VERSION, .THUNDERBIRD_ESR, .THUNDERBIRD_ESR_NEXT'
158.0.1
153.5.1esr


# 149系の公開日
$ curl -s https://product-details.mozilla.org/1.0/thunderbird.json \
    | jq -r '.releases | to_entries[] | select(.key|test("^thunderbird-149\\.0(\\.[0-9]+)?$")) | "\(.key) \(.value.date)"'
thunderbird-149.0 2026-03-24
thunderbird-149.0.1 2026-03-26
thunderbird-149.0.2 2026-04-07

# 端末側の版（macOS）
$ defaults read /Applications/Thunderbird.app/Contents/Info.plist CFBundleShortVersionString

# 端末側の版（Windows PowerShell）
PS> (Get-Item "$env:ProgramFiles\Mozilla Thunderbird\thunderbird.exe").VersionInfo.ProductVersion

# 端末側の版（Linux）
$ thunderbird --version

2026年10月23日の取得ではTHUNDERBIRD_ESR_NEXTが空で、ESR版は153系だけになっています。ESR 140系は9月30日の140.17.0が最後の公開で、10月13日のESR更新は153.5.0だけでした。140系のESRを使っている組織は153系への移行を前提に計画してください。端末の版が149.0.2以下のRelease版なら、更新が止まっていると判断できます。

149から上げる前のバックアップと、150〜158で挙動が変わる点

149から158へ上げると、9つのメジャー版の変更をまとめて受け取ります。更新前に、Thunderbirdを終了した状態でプロファイルフォルダーを丸ごと複製しておくと、メール・アドレス帳・設定を更新前の状態で残せます。複製が守るのはプロファイル内のデータで、アプリの版は戻りません。フォルダーの場所は「ヘルプ」→「トラブルシューティング情報」の「プロファイルフォルダー」欄で確認できます。

業務で影響が出やすいのは、暗号化メールと認証まわりの変更です。

• 150.0：OpenPGP・S/MIMEで暗号化したメールの本文を検索できるようになりました。
• 151.0：署名だけのメールにOpenPGP公開鍵が既定では添付されなくなりました。起動時の既定アプリ確認も復活しています。
• 152.0：GmailのOAuth認証がPKCE方式に変わりました。
• 153.0：メールアカウントのOAuthログインが、Thunderbird内の画面ではなく既定のWebブラウザで開くようになりました。
• 158.0：リモートコンテンツの許可例外で、*.example.comのようなワイルドカードのホスト名が誤って通っていた不具合と、スキームを書かない例外がHTTPSに効かなかった不具合が直りました。ワイルドカードの例外に頼って外部画像を表示していた場合、158では読み込まれなくなる可能性があります。

Gmailを他社メールの取り込みに使っている場合は、Gmail側のPOP取り込みの終了も確認してください（「GmailのPOP受信終了はいつから？」）。部署ごとにメールソフトやブラウザを入れている場合は、上のコマンドで端末の版を集め、更新ポリシーで自動更新を止めていないかも確認してください。端末やサーバーに残る古いソフトを洗い出し、外から見える弱点まで確かめたい場合は、一創の脆弱性診断・セキュリティ診断を利用できます。

よくある質問

Thunderbird 149.0はいつリリースされましたか？

2026年3月24日です。その後149.0.1（3月26日）と149.0.2（4月7日）が出て、4月21日の150.0の公開で149系の更新は終わりました。

Thunderbird 149で起きた不具合は直っていますか？

149系の中では直っていません。カレンダーの週・日表示で軸が入れ替わる不具合とアカウントの二重表示は150.0、メッセージ内検索の件数が出ない不具合とタスクの右クリックメニューのグレーアウトは151.0で修正されました。149.0.1と149.0.2にはこれらの修正は入っていないため、現在の最新版（Release版158.0.1またはESR版153.5.1）へ更新してください。

Thunderbird 149で修正された脆弱性は何件ですか？

149.0でMFSA 2026-23の48件（high 21・moderate 20・low 7）、149.0.2でMFSA 2026-28の5件（すべてhigh）、合わせて53件です。多くはメール表示ではスクリプトが無効なため悪用されにくいとされていますが、IMAP解析のCVE-2026-4371は、不正な応答を受け取るとメールを開かなくても対象になります。

Thunderbirdの最新バージョンは149ですか？

違います。2026年10月23日時点のRelease版の最新は158.0.1（10月20日公開）、ESR版は153.5.1（同日公開）です。最新版の確認と更新の手順は「Thunderbirdの最新版と確認・更新方法」を参照してください。

Thunderbird 149とESR版はどちらを使えばよいですか？

149はRelease版だけの番号で、ESR版の149はありません。同じ時期のESR版は140.9.0と140.9.1で、149の新機能は入らない代わりに、149で起きたカレンダーの軸の入れ替わりなどの影響も受けていません。いまESRを選ぶなら153系です。149で入った連絡先の選択書き出しは、2026年7月22日に始まったESR 153系で使えます。

関連記事

• サンダーバードでメールが受信できない時の対処と最新版157の確認・更新方法【2026年10月】
• Firefoxの最新版は158（2026年10月）｜バージョン確認・更新方法とESR版との違い
• GmailのPOP受信終了はいつから？2027年1月に送信元・Gmailifyも終了｜影響と代替手段
• TLSとは？SSLとの違い・仕組みとバージョン選定を実装者向けに解説【2026年最新】
• ISO/IEC 10646（UCS）とは？Unicodeとの違い・版の対応と文字コードUTF-8/16/32を解説