Mozilla a publié le 27 octobre 2026 les correctifs de bureau Thunderbird 159.0 (canal standard) et 153.6.0esr (ESR). Les avis de sécurité MFSA2026-121 et MFSA2026-122 sont classés élevés. Récapitulatif sourcé : Thunderbird 159 / 153.6 ESR — fuites NTLM et messages.
Ce qui est confirmé
- Afficher certains messages (clé OpenPGP externe, chemins mailbox) peut déclencher une connexion non voulue ; sous Windows, cela peut exposer des données d’authentification NTLM (pas la preuve d’un mot de passe en clair volé).
- Répondre, transférer ou éditer un message piégé pouvait, dans un cas documenté, insérer des fragments d’un autre message du même dossier — la fuite était liée à l’envoi de cette composition.
- Des scénarios distincts concernent aussi la découverte de calendriers et les flux RSS (HTTP / partages réseau), toujours avec des conditions précises.
- Ce sont des correctifs d’octobre, pas une nouvelle version du 5–6 novembre. Sur ESR, restez sur 153.6.0esr (ou plus récent proposé) sans changer de canal « pour la forme ».
Hors périmètre
- Aucune exploitation active n’est établie dans les avis cités.
- Les failles du moteur navigateur partagé ne sont pas automatiquement exploitables par un courriel ordinaire (scripts désactivés à la lecture) — cela n’annule pas les scénarios mail/NTLM ci-dessus.
Sources
Question : sur votre PC Windows, Help → About indique déjà 159.x ou 153.6.x esr (ou plus récent), et utilisez-vous encore des calendriers / flux RSS en HTTP plain ou des partages réseau dans Thunderbird ?