Thunderbird 159 et 153.6 ESR corrigent des fuites NTLM sous Windows et de messages

Les mises à jour de bureau de Thunderbird du 27 octobre 2026 méritent votre attention si elles ne sont pas encore installées : 159.0 sur le canal de publication standard et 153.6.0esr sur ESR corrigent des failles susceptibles d’exposer du contenu de messages ou, sous Windows, des données d’authentification NTLM. Mozilla classe les deux avis de sécurité au niveau élevé. Il s’agit de correctifs d’octobre, pas d’une nouvelle version du 5 novembre.

Afficher un courriel peut-il déclencher une connexion ?

Pour deux failles documentées, oui. CVE-2026-118174 concerne une pièce jointe de clé OpenPGP déclarée comme externe. L’affichage du message pouvait pousser Thunderbird à récupérer une URL choisie par l’attaquant pour proposer l’importation de la clé, en contournant le blocage du contenu distant. Il n’était pas nécessaire d’accepter la clé. Sous Windows, une destination sur un partage réseau pouvait exposer des identifiants NTLM ; sur les autres systèmes, l’effet décrit était une requête distante non souhaitée.

CVE-2026-118176 concerne uniquement Windows. Un message piégé pouvait contourner la restriction visant les chemins de partages réseau distants dans les URL mailbox et provoquer une connexion à un serveur SMB contrôlé par l’attaquant. Mozilla décrit la divulgation du nom du compte Windows et de données d’authentification NTLM, potentiellement utilisables pour du cassage de mot de passe hors ligne ou une attaque par relais. Cela ne prouve pas le vol d’un mot de passe en clair.

Une autre faille touche les réponses et transferts

CVE-2026-118175 pouvait insérer des fragments d’un autre message du même dossier lors d’une réponse, d’un transfert ou de la modification d’un message piégé comme nouveau message, sans avertissement de contenu bloqué. La divulgation intervenait si l’utilisateur envoyait cette composition. L’avis ne dit pas que la simple réception du courriel exposait toute la boîte.

Calendriers et RSS sont aussi concernés

Les avis distinguent d’autres chemins, avec leurs propres conditions :

Ces conditions dépendent des fonctions et plateformes utilisées : elles ne prouvent pas que chaque installation de Thunderbird a été compromise.

Quelle mise à jour installer ?

Utilisez la mise à jour prise en charge proposée pour votre canal installé. Les notes du 27 octobre identifient 159.0 et 153.6.0esr ; les utilisateurs ESR n’ont pas à changer de canal pour obtenir ces correctifs. Si une version prise en charge plus récente est proposée, privilégiez-la plutôt que d’installer volontairement une ancienne version. Sur un PC administré, suivez le processus de déploiement de votre organisation.

Les changements hors sécurité diffèrent aussi. La version 159.0 corrige notamment la conservation des mots de passe CardDAV, des requêtes Microsoft Graph excessives, le transfert de pièces jointes et la récupération après un échec de copie dans les messages envoyés. Les notes de 153.6.0esr corrigent séparément un échec d’enregistrement de messages envoyés sans avertissement. Toutes les modifications du canal standard ne sont pas nécessairement incluses dans ESR.

Mozilla précise que de nombreuses failles du moteur partagé avec le navigateur ne sont pas exploitables par un courriel ordinaire, car les scripts sont désactivés à la lecture. Cette réserve n’annule pas les scénarios spécifiques de connexion et de divulgation décrits ci-dessus. Les avis cités n’établissent pas d’exploitation active : cet article présente des correctifs documentés, pas une campagne d’attaque confirmée.

Sources