Thunderbird 159 corregge problemi di sicurezza nella posta: cosa controllare dopo l’aggiornamento

Mozilla ha pubblicato il 27 ottobre 2026 Thunderbird 159 e Thunderbird 153.6 ESR, con correzioni di sicurezza classificate complessivamente ad alto impatto. Alcuni problemi riguardano email, calendari e risorse di rete: vale la pena controllare la versione installata, senza presumere che il proprio account sia stato violato.

Perché l’aggiornamento conta

Nel bollettino ufficiale per Thunderbird 159 Mozilla descrive un problema nel trattamento di allegati OpenPGP che poteva provocare richieste di rete inattese. Su Windows, in condizioni specifiche, questo comportamento poteva esporre informazioni di autenticazione NTLM. Un’altra correzione riguarda la possibilità che una risposta a un messaggio appositamente costruito includesse contenuti di un’altra email senza segnalarlo chiaramente prima dell’invio.

Altri difetti interessano la gestione di percorsi di rete in messaggi, calendari e feed RSS. Non tutti gli scenari riguardano tutti i sistemi operativi: l’esposizione NTLM descritta in alcune schede è specifica di Windows. I dettagli e le condizioni di ogni vulnerabilità sono riportati nei bollettini Mozilla.

Quali versioni controllare

Mozilla indica le correzioni in Thunderbird 159 per il canale ordinario e in Thunderbird 153.6 per il ramo ESR, come conferma il relativo avviso ESR. Non è necessario abbandonare ESR per passare alla versione ordinaria: seguire il canale previsto dalla propria installazione o organizzazione. Non estendere automaticamente queste indicazioni all’app Android.

Come verificare l’aggiornamento

Aprire Thunderbird e controllare la versione in Aiuto > Informazioni su Thunderbird (il percorso può variare leggermente su macOS). Se è disponibile un aggiornamento, completarlo e riavviare il programma. Su Linux, quando Thunderbird è distribuito tramite il gestore pacchetti, verificare gli aggiornamenti della distribuzione; negli ambienti gestiti rivolgersi al reparto IT. La guida ufficiale Mozilla spiega i passaggi e le eccezioni.

Che cosa non è stato confermato

I bollettini consultati confermano vulnerabilità e versioni correttive, non dimostrano che un utente italiano sia stato colpito né documentano in quelle pagine uno sfruttamento attivo generalizzato. Non c’è motivo di dichiarare un furto di dati già avvenuto o di suggerire cambi indiscriminati di password sulla sola base dell’avviso.

Fonti: Mozilla, MFSA 2026-121; Mozilla, MFSA 2026-122, entrambi del 27 ottobre 2026; guida all’aggiornamento Thunderbird.

Redazione Quotidiano Digitale — Sikelia Labs