Mozilla ha pubblicato Thunderbird 156 il 15 settembre 2026 con un bollettino di sicurezza classificato High. L’aggiornamento corregge problemi nel parsing delle intestazioni email e delle risposte IMAP, oltre a vulnerabilità condivise con il motore Mozilla. Per chi usa il ramo standard, la verifica pratica è semplice: controllare di essere su Thunderbird 156.
Mozilla precisa che, in generale, molte delle vulnerabilità condivise con Firefox non sono direttamente sfruttabili leggendo una normale email perché Thunderbird disattiva lo scripting nei messaggi. Questo non rende però l’aggiornamento superfluo: il bollettino contiene anche bug specifici della posta e la release corretta è già disponibile.
Thunderbird 156: cosa corregge il nuovo aggiornamento
Il riferimento ufficiale è il Mozilla Foundation Security Advisory 2026-94. L’advisory è stato annunciato il 15 settembre 2026, ha impatto complessivo High e indica Thunderbird 156 come versione corretta.
| Vulnerabilità | Problema | Impatto Mozilla |
|---|---|---|
| CVE-2026-92238 | Parsing ambiguo delle intestazioni email | Medium |
| CVE-2026-92239 | Buffer overrun nel parsing IMAP | Medium |
| CVE-2026-92240 | Out-of-bounds read nella risposta IMAP | Low |
| CVE-2026-92005 | Use-after-free nei Web Codecs | High |
| CVE-2026-92015 | Escalation dei privilegi nelle WebExtensions | High |
| CVE-2026-92035 | Sandbox escape nel componente grafico | High |
La tabella non esaurisce l’intero advisory. Mozilla ha cambiato il modo in cui pubblica i problemi di memory safety e ora assegna advisory e CVE individuali a più bug che in passato sarebbero stati raggruppati.
CVE-2026-92238: cosa può succedere alle intestazioni email
CVE-2026-92238 riguarda un parsing ambiguo degli header. Secondo Mozilla, una intestazione costruita in modo malevolo può portare più campi a essere interpretati come uno solo oppure generare potenziali violazioni di sicurezza della memoria.
Per l’utente non significa che ogni messaggio ricevuto sia pericoloso. Significa che il codice che interpreta una parte fondamentale del formato email aveva un comportamento non sicuro in condizioni specifiche e che la correzione è già integrata in Thunderbird 156.
CVE-2026-92239 e CVE-2026-92240: perché riguarda anche IMAP
CVE-2026-92239 è un problema nel parser IMAP: una linea costruita in modo malevolo può causare una lettura oltre i limiti del buffer. CVE-2026-92240 riguarda invece una risposta IMAP non valida che può provocare un crash; Mozilla specifica che il percorso interessato può essere raggiunto anche prima dell’autenticazione verso il server.
Questo rende sensato aggiornare anche se usi Thunderbird soltanto con account IMAP tradizionali e non apri allegati sospetti. Non tutti i problemi di un client email dipendono da un clic dell’utente su un file.
Thunderbird 156 è vulnerabile semplicemente aprendo una email?
Non è corretto dire che tutte le vulnerabilità del bollettino possano essere sfruttate semplicemente leggendo un messaggio. Mozilla specifica che, in generale, i bug condivisi con Firefox non sono sfruttabili tramite normali email in Thunderbird perché lo scripting è disabilitato durante la lettura dei messaggi. Alcuni problemi restano però specifici del parsing email o IMAP.
La distinzione è utile anche per evitare allarmismi: Thunderbird 156 è un aggiornamento di sicurezza importante, ma l’advisory non descrive una campagna di attacchi attivi contro tutti gli utenti del client.
Come aggiornare Thunderbird alla versione 156
- Apri Thunderbird.
- Apri il menu principale.
- Vai su Aiuto.
- Apri Informazioni su Thunderbird.
- Attendi il controllo automatico degli aggiornamenti.
- Installa la release proposta dal canale ufficiale.
- Riavvia Thunderbird quando richiesto.
- Riapri la schermata Informazioni e verifica il numero di versione.
Se Thunderbird è gestito dal sistema operativo o da un reparto IT, il numero disponibile può dipendere dal canale di distribuzione. In un ambiente aziendale non conviene sovrapporre manualmente un installer differente senza verificare le policy di gestione.
Thunderbird ESR: non passare al ramo standard alla cieca
Mozilla ha pubblicato nello stesso ciclo anche Thunderbird 140.16 ESR. Se usi il ramo ESR per stabilità o gestione centralizzata, non devi necessariamente migrare a Thunderbird 156: devi installare l’aggiornamento corretto per il canale previsto dall’organizzazione.
Lo stesso principio vale per Firefox. Nel nostro approfondimento su Firefox 155 e le versioni ESR abbiamo distinto il ramo standard dalle release ESR corrette senza suggerire cambi di canale non necessari.
Se Thunderbird non trova l’aggiornamento
- Riavvia l’applicazione e ripeti il controllo.
- Verifica se la copia è gestita da un’organizzazione.
- Controlla il canale di installazione usato sul sistema operativo.
- Su Linux verifica repository, Flatpak o altro formato scelto in origine.
- Non cancellare il profilo di posta per risolvere un semplice problema di aggiornamento.
- Evita pacchetti scaricati da siti non ufficiali.
Un profilo Thunderbird contiene impostazioni, indici, account e in alcuni casi copie locali dei messaggi: non è necessario eliminarlo per applicare una patch di sicurezza. Se il problema è il meccanismo di aggiornamento, va risolto separatamente.
Serve cambiare password dopo Thunderbird 156?
Non per il solo fatto che esiste l’aggiornamento. Il bollettino Mozilla non dice che le credenziali degli utenti Thunderbird siano state sottratte. Cambiare password ha senso se hai indicatori di compromissione dell’account, accessi sospetti o un incidente separato.
Per una gestione più generale della posta puoi consultare anche il nostro approfondimento sulle alternative ai servizi email più comuni, tenendo presente che sicurezza del provider e sicurezza del client sono aspetti differenti.
Come verificare che l’aggiornamento sia installato
- Riapri Thunderbird dopo il riavvio.
- Vai su Aiuto > Informazioni su Thunderbird.
- Sul ramo standard verifica che compaia 156.
- Se usi ESR, verifica la release corretta del ramo gestito.
- Su più computer, ripeti il controllo su ogni installazione invece di presumere che l’update automatico sia arrivato ovunque.
La scelta consigliata è installare Thunderbird 156 appena disponibile sul ramo standard oppure la release ESR corretta se l’ambiente usa ESR. L’aggiornamento interviene sia su bug specifici della posta e di IMAP sia su vulnerabilità condivise con la piattaforma Mozilla, senza che il bollettino richieda procedure invasive come reset del profilo o cambio automatico delle password.
