Mozilla hat am 10. November 2026 Sicherheitsupdates für Thunderbird 153.7 und Thunderbird 160 veröffentlicht. Sie schließen unter anderem eine als hoch eingestufte Schwachstelle, durch die beim Weiterleiten einer Nachricht unter Windows und Linux unbeabsichtigt lokale Dateien oder Inhalte aus dem Netzwerk an Empfänger oder den Mailanbieter gelangen konnten.
Die als CVE-2026-126132 erfasste Lücke betrifft speziell präparierte Verweisdateien im Anhang. Daneben korrigiert Mozilla mehrere Fehler bei Kalenderzugängen, Feed-Abonnements und der Verarbeitung von Mailverbindungen. Thunderbird-Nutzer sollten die Aktualisierung des jeweils eingesetzten Versionszweigs prüfen.
Wie beim Weiterleiten lokale Dateien offengelegt werden konnten
Im Mittelpunkt steht ein Fehler beim Umgang mit Dateianhängen, die nicht selbst die zu versendende Datei enthalten, sondern auf einen anderen Speicherort verweisen. Ein solcher Verweis konnte unter Windows als .url– oder .lnk-Datei und unter Linux als .desktop-Datei auftreten.
Nach Mozillas Beschreibung konnte Thunderbird bei einer entsprechend präparierten Verweisdatei den Anhang während bestimmter Bearbeitungsschritte durch den Inhalt der verlinkten Datei beziehungsweise URL ersetzen. Ausgelöst werden konnte dies insbesondere beim Weiterleiten innerhalb des Nachrichtentexts, beim Bearbeiten als neue Nachricht oder beim Ziehen eines Anhangs in das Verfassen-Fenster. Der Austausch erfolgte, wenn die Nachricht gespeichert oder gesendet wurde.
Die Folge: Statt des ursprünglich sichtbaren Verweises konnten lokale Dateiinhalte oder erreichbare Netzwerkressourcen in einer ausgehenden Nachricht landen. Damit waren nicht nur die adressierten Empfänger potenzielle Empfänger vertraulicher Informationen; auch der beteiligte Mailanbieter konnte den Inhalt bei der Übermittlung oder Speicherung erhalten. Mozilla stuft die Schwachstelle als High ein und nennt ausdrücklich Windows und Linux als betroffene Betriebssysteme.
Eine allgemeine Aussage, dass jede weitergeleitete E-Mail automatisch Dateien preisgegeben habe, wäre falsch. Erforderlich war nach Herstellerangaben eine speziell präparierte Verweisdatei und einer der beschriebenen Bearbeitungsvorgänge. Für macOS nennt Mozilla diese Schwachstelle nicht als betroffen.
Weitere Korrekturen betreffen Kalender, NTLM und Exchange
Die Sicherheitsmitteilungen enthalten mehrere weitere, für geschäftlich eingesetzte Mailprogramme relevante Fehler. Sie unterscheiden sich in ihren Voraussetzungen und sollten nicht mit dem Problem beim Weiterleiten von Dateianhängen vermischt werden.
- CVE-2026-126133 – Kalenderzugänge: Bei CalDAV- und ICS-Kalendern konnten Zugangsdaten des Kalenderservers an einen authentifizierenden HTTP-Proxy übermittelt werden. Mozilla beschreibt das Risiko auch beim Zugriff auf Kalender über HTTPS.
- CVE-2026-126134 – NTLM unter Windows: Manipulierte Feed-Abonnements mit Verweisen auf Netzwerkfreigaben konnten eine Verbindung zu einem fremden Server auslösen, bei der Windows NTLM-Anmeldedaten sendete. Andere Betriebssysteme sind laut Mozilla nicht betroffen.
- CVE-2026-126135 – STARTTLS: Ein Angreifer in einer Man-in-the-Middle-Position konnte vor Abschluss des TLS-Handshakes manipulierte SMTP- oder POP3-Serverantworten einschleusen. Das betrifft nach Mozillas Beschreibung nicht Verbindungen, die von Beginn an SSL/TLS statt STARTTLS verwenden. Die verschlüsselte Verbindung selbst wurde dabei nicht gebrochen; Zugangsdaten wurden durch diesen Fehler nicht offengelegt.
- CVE-2026-126136 – Exchange-OAuth2: Bei EWS- oder Microsoft-Graph-Konten mit OAuth2 konnte ein Zugriffstoken über unverschlüsseltes HTTP übertragen werden, wenn eine entsprechende Serveradresse konfiguriert war. Für ein Abfangen musste der Netzwerkverkehr beobachtbar sein.
Die genannten Befunde ergeben unterschiedliche praktische Prüfaufgaben. Bei Kalender- und Exchange-Konten ist vor allem eine korrekte verschlüsselte Serveranbindung wichtig. Der sicherheitsrelevante Fehler bei Verweisdateien im Anhang lässt sich dagegen nicht zuverlässig durch einen anderen Mailserver oder einen anderen Filter beheben; hier ist das Thunderbird-Programm selbst zu aktualisieren.
Welche Thunderbird-Versionen den Fehler beheben
Mozilla veröffentlicht die Korrekturen in den beiden am 10. November bereitgestellten Versionsständen 153.7 und 160. Die jeweilige Sicherheitsmitteilung führt CVE-2026-126132 sowie weitere Schwachstellen auf. Die Nummern sind nicht additiv zu verstehen: Wer Thunderbird 153.x verwendet, muss nicht allein wegen dieser Meldung auf den Versionszweig 160 wechseln. Relevant ist ein aktueller, vom Hersteller unterstützter und für die bestehende Installation vorgesehener Stand.
Die Einzelheiten stehen in den Mozilla-Sicherheitsmitteilungen MFSA 2026-129 für Thunderbird 153.7 und MFSA 2026-128 für Thunderbird 160. Dort sind die Fehler nach Kennung, Schweregrad und betroffenen Komponenten aufgeführt.
Was Nutzer und Administratoren jetzt prüfen sollten
- In Thunderbird den installierten Versionsstand im Hilfe-Menü unter „Über Thunderbird“ kontrollieren und ein verfügbares Update abschließen.
- Nach der Installation verifizieren, dass tatsächlich Version 153.7 beziehungsweise 160 oder ein späterer korrigierter Stand läuft. Falls erforderlich das Programm neu starten.
- Auf verwalteten Firmenrechnern auch solche Installationen einbeziehen, die selten geöffnet werden oder deren Updates zentral verteilt werden.
- Verdächtige Link-Anhänge nicht als gewöhnliche Dokumente behandeln. Besonders Verweisdateien mit den Endungen .lnk, .url und .desktop gehören nicht zum üblichen Austausch von Textdokumenten.
- Bei Exchange-, Kalender- und Feed-Konfigurationen prüfen, ob Serveradressen, Proxys und Transportverschlüsselung den vorgesehenen sicheren Einstellungen entsprechen.
Ein Hinweis auf bereits erfolgte konkrete Angriffe über CVE-2026-126132 ist in den beiden zitierten Mozilla-Advisories nicht enthalten. Die dort dokumentierte Möglichkeit, bei bestimmten Arbeitsabläufen lokale Inhalte in ausgehende Nachrichten zu übernehmen, macht die Korrektur gleichwohl relevant – gerade auf Arbeitsplätzen, an denen regelmäßig fremde Anhänge bearbeitet und Nachrichten weitergeleitet werden.
Offizieller Thunderbird-Download
Thunderbird stellt die aktuellen Installationspakete über die deutschsprachige offizielle Downloadseite bereit. Dort lassen sich Betriebssystem, Sprache und Release-Kanal einschließlich Extended Support Release auswählen. Bei einer bestehenden Installation empfiehlt sich zunächst die integrierte Aktualisierungsfunktion unter „Über Thunderbird“.
Offizielle Herstellerquellen
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten