無料のメールソフト「Thunderbird」の最新版 159.0 が、2026年10月27日に公開されました。深刻度「High」113件を含む計173件の脆弱性を修正したセキュリティ更新です。長期サポート版（ESR）を使っている人向けにも、同じ日に 153.6 が公開され、154件の脆弱性が修正されています。パソコンで Thunderbird を使ってメールを読んでいる人は、まず自分のバージョンを確かめておきましょう。
この記事では、Thunderbird 159 で何が変わったのか、リリース版と ESR 版のどちらを使っているかの見分け方、更新の手順と設定、更新後に気をつけたい点を、Thunderbird の公式リリースノートと Mozilla のセキュリティアドバイザリーをもとに整理します。
Thunderbird 159で何が変わった？
今回の 159.0 は、毎月新しい機能が届く「リリース版」の更新です。中心はセキュリティの修正ですが、Microsoft のメール・カレンダーを使っている人や Linux で使っている人に向けた新機能、30件を超える不具合の修正も含まれています。
① 計173件の脆弱性を修正（High 113件・Moderate 53件・Low 7件）
② アカウントを新しく作るとき、Microsoft Graph のカレンダーを自動で見つけるように
③ Linux 版で、通知領域のアイコンに未読メールの有無と件数を表示
④ 長期サポート版（ESR）は 153.6 で154件の脆弱性を修正
修正された脆弱性の内訳
Mozilla が公開したセキュリティアドバイザリー（MFSA 2026-121・2026-122）に載っている、修正された脆弱性の件数は次のとおりです。Mozilla の4段階の評価のうち、最も重い「Critical」に当たるものはありませんでしたが、全体の評価は「High」とされています。
| 深刻度 | Thunderbird 159 | Thunderbird 153.6（ESR） |
|---|---|---|
| Critical（最も重い） | 0件 | 0件 |
| High（2番目） | 113件 | 100件 |
| Moderate（3番目） | 53件 | 48件 |
| Low（最も軽い） | 7件 | 6件 |
| 合計 | 173件 | 154件 |
修正の多くは、Firefox と共通の部品（画面の表示や JavaScript の処理など）にある「解放済みメモリーの使用（use-after-free）」と呼ばれる種類のものです。このほか、サンドボックス（安全のために処理を閉じ込める仕組み）から抜け出せてしまう問題も含まれています。
一方で Mozilla は、Thunderbird ではメールを読むときにスクリプトが無効になっているため、多くの脆弱性はメールを通じて悪用できないと説明しています。ただし、ブラウザーに近い使い方をする場面では危険が残るとしており、更新しなくてよい理由にはなりません。
メールソフトならではの修正もある
リリースノートには、Thunderbird 独自の安全面の修正も並んでいます。たとえば、改行を含むメールアドレスで送信サーバー（SMTP）に意図しない命令が送られるおそれがあった問題、RSS フィードが特定のヘッダー情報を書き換えられた問題、ヘッダーが欠けたニュース記事で外部の画像などを読み込んでしまう問題です。Unicode を使ったメールアドレスによって、返信先（Reply-To）が別のアドレスなのに気づきにくかった問題も直っています。
アドバイザリーでは、OpenPGP の鍵が添付されたメールを表示すると、攻撃者が選んだ URL を読み込むおそれがあった問題など、Thunderbird 固有の項目が7件挙げられています。怪しいメールを開いただけで外部に接続される可能性を減らす修正なので、早めに更新しておきたいところです。
新機能：Microsoft Graph のカレンダーとLinuxの未読表示
Microsoft Graph のカレンダーを自動で検出
Thunderbird 159 では、新しくアカウントを作るときに、Microsoft Graph を使うカレンダーが自動で見つかるようになりました。Microsoft のアカウントでメールを使っている人は、アカウントを追加したあとにカレンダーを手作業で登録する手間が減ります。
あわせて、Exchange・Graph のアカウントで送信サーバーの設定が不完全なときに失敗する問題、アカウント設定画面（Account Hub）の「設定を編集」が Exchange・Graph のアカウントで反応しなかった問題、Graph への問い合わせが多すぎてメールの表示が遅れる問題も修正されています。Microsoft 系のアカウントを Thunderbird で使っている人には、使い勝手の面でもうれしい更新です。
Linux 版は通知領域で未読がわかる
Linux 版では、通知領域（トレイ）のアイコンで未読メールがあるかどうかがわかるようになり、マウスを重ねると件数も表示されます。メールソフトを開いていなくても、新着の有無をひと目で確かめられます。
そのほかの主な不具合修正
ふだんの使い方に関係しそうな修正を、リリースノートから抜き出しました。
| 場面 | 修正された内容 |
|---|---|
| 表示 | ［表示］メニューの「文字サイズだけ拡大／縮小」が効かなかった |
| カレンダー・タスク | カレンダー・タスクのタブで［表示］→［フォルダー］が反応しなかった |
| 添付ファイル | 転送時に MP4 の添付が途中で切れることがあった |
| アドレス帳 | CardDAV のパスワードが保存されず、再起動のたびにログインを求められた |
| 起動 | IMAP のメールや PDF のタブを復元するとき、起動が止まることがあった |
| カレンダー同期 | 通信エラーのあと、再起動するまで CalDAV の同期が止まることがあった |
| 検索 | 「/」キーのクイック検索が、一度 Ctrl+F を使うまで効かなかった |
対象：リリース版とESR版、どちらを使っている？
Thunderbird には、毎月新機能が届く「リリース版」と、機能の追加を抑えて長く同じ系列を使える「ESR（延長サポート版）」があります。公式のダウンロードページでは、リリース版が「推奨」とされています。今回の更新は、それぞれ次のバージョンが最新です。
| 種類 | 最新バージョン | 公開日 | 修正された脆弱性 |
|---|---|---|---|
| リリース版 | 159.0 | 2026年10月27日 | 173件 |
| ESR（延長サポート版） | 153.6 | 2026年10月27日 | 154件 |
ESR の 153.6 にはセキュリティ修正のほか、送信済みメールの保存に失敗しても警告が出ないことがあった問題の修正が入っています。今回紹介した Graph カレンダーの自動検出などの新機能は、リリース版の 159 だけです。
どちらを使っているかは、次の手順で開く「Thunderbird について」の画面に表示されるバージョン番号で確かめられます。「153.」で始まっていれば ESR、「159」などリリース版の番号なら毎月更新される版です。
動作環境
| OS | Thunderbird 159 の動作環境 |
|---|---|
| Windows | Windows 10 以降（32ビット・64ビット） |
| Mac | macOS 10.15 以降（Intel・Apple シリコン） |
| Linux | 64ビットのみ（glibc 2.17、GTK+ 3.14 以降など） |
Thunderbirdを更新する手順
Thunderbird は初期設定で自動的に更新されますが、パソコンをあまり再起動しない人や、Thunderbird を開きっぱなしにしている人は、更新が終わっていないこともあります。公式のヘルプでは、次の手順でいつでも手動で更新できると案内しています。
- Thunderbird を起動し、メニューバーの［ヘルプ］を開く
- ［Thunderbird について］を選ぶ
- 開いた画面で、更新の確認とダウンロードが自動で始まる
- 準備ができたら「Thunderbird を再起動して更新」のボタンを押す
- 再起動後、もう一度［Thunderbird について］を開き、159.0（ESR なら 153.6）になっているか確かめる
自動更新の設定を確認する
更新の方法は設定画面で選べます。右上の［≡］（アプリメニュー）→［設定］を開き、「一般」の「更新」の項目で、「更新を自動的にインストールする」と「更新を確認するが、インストールするかどうかを選択する」のどちらかを選びます。とくに理由がなければ、自動でインストールする設定にしておくのが安心です。
なお、Microsoft Store や Linux のパッケージ（Flathub・Snap など）から入れた Thunderbird は、それぞれのストア・パッケージの仕組みで更新されます。うまく更新できないときは、公式サイトから最新版をダウンロードして上書きでインストールすれば、メールや設定はそのまま引き継がれると公式ヘルプは説明しています。
更新前後に気をつけたいこと
- アドオンの対応を確認：公式サイトでは、リリース版はすべてのアドオンで動くとは限らないと注意書きがあります。仕事で使うアドオンがある場合は、更新後に動作を確かめましょう。
- ダウンロードは公式から：最新版を入れ直すときは、thunderbird.net の公式ページか Microsoft Store など公式の配布先を使います。検索広告などに出てくる非公式の配布サイトは避けましょう。
- 怪しいメールは開く前に確認：更新で危険は減りますが、なくなるわけではありません。送り主や返信先のアドレスに見覚えがないメール、急がせる内容のメールのリンクや添付は開かないのが基本です。
- Firefox も一緒に更新：同じ部品の脆弱性が Firefox でも修正されています。ブラウザーに Firefox を使っている人は、あわせて最新版になっているか確かめましょう。
よくある質問
Q. Thunderbird 159 は無料ですか？
A. 無料です。Windows・Mac・Linux 向けに公式サイトから入手でき、更新にも料金はかかりません。
Q. メールを読むだけなら更新しなくても大丈夫？
A. Mozilla は、メールを読むときはスクリプトが無効なので多くの脆弱性はメール経由では悪用できないとしていますが、Thunderbird 独自の問題も7件修正されています。安全のため早めの更新をおすすめします。
Q. ESR の 153 を使っています。159 に上げる必要はありますか？
A. ESR の 153.6 にも今回のセキュリティ修正が入っているため、153.6 にしておけば足ります。Graph カレンダーの自動検出などの新機能を使いたい場合は、リリース版に切り替える必要があります。
Q. 更新するとメールや設定は消えますか？
A. 通常の更新では消えません。公式ヘルプでも、最新版を入れ直した場合は既存のデータを引き継ぐと案内されています。念のため、大事なメールは定期的にバックアップしておくと安心です。
まとめ
Thunderbird 159 は、173件の脆弱性を修正したセキュリティ更新で、ESR 版も 153.6 で154件が修正されました。「Critical」はないものの、深刻度「High」が100件を超えており、メールを開いただけで外部の URL を読み込むおそれがあった問題など、メールソフト固有の修正も含まれています。
新機能としては、Microsoft Graph のカレンダーの自動検出や Linux 版の未読表示が加わり、Microsoft 系アカウントまわりの不具合もまとめて直っています。［ヘルプ］→［Thunderbird について］を開けば、その場で更新の確認ができます。バージョンが 159.0（ESR は 153.6）になっているか、今日のうちに確かめておきましょう。
参考ページ
- Thunderbird 公式サイト：Thunderbird 159.0 リリースノート
- Thunderbird 公式サイト：Thunderbird 153.6.0esr リリースノート
- Thunderbird 公式サイト：Thunderbird 159.0 動作環境
- Mozilla：Security Vulnerabilities fixed in Thunderbird 159（MFSA 2026-121）
- Mozilla：Security Vulnerabilities fixed in Thunderbird 153.6（MFSA 2026-122）
- Thunderbird ヘルプ：Thunderbird の更新
- Thunderbird 公式サイト：ダウンロード
