Firefox 159が公開、脆弱性167件を修正しスクロール連動アニメに対応

Mozillaは2026年10月27日（米国時間）、デスクトップ版Firefoxの159.0を公開しました。セキュリティ面ではCVE単位で167件の脆弱性を修正し、内訳はHighが108件、Moderateが52件、Lowが7件で、Criticalは含まれていません。Web制作の側では、スクロール連動アニメーション（scroll-driven animations）とスコープ付きカスタム要素レジストリが入った点が目を引きます。

この記事の目次

Highが108件、ESRも同日に修正
animation-timelineが入り、スクロール連動をCSSで宣言できる
同じタグ名のカスタム要素を共存させるレジストリ
Sanitizer APIの挙動とWebGL拡張
Web Consoleでlet/constを再宣言可能に、読み込みの不具合も修正
ユーザー向けの変更
非対応環境でどう見えるかを、先に決めておきたい
出典

Highが108件、ESRも同日に修正

修正はMozilla Foundation Security Advisory 2026-118にまとまっています。対象はFirefoxで、修正版は159、全体のImpactは「high」です。件数はCVEの項目を数えた値で、Critical 0件、High 108件、Moderate 52件、Low 7件の合計167件になります。

Criticalは無いものの、Highが全体の6割を超えています。窓の杜は、できるだけ早いアップデートが望ましいと伝えています。同じ日に、企業向けの延長サポート版であるFirefox ESRでもセキュリティ修正が出ました。MFSA 2026-119がESR 115.44（CVE 80件）、MFSA 2026-120がESR 153.6（CVE 145件）で、どちらも10月27日付です。ESRを配布している環境では、通常版とは別に更新が必要です。9月29日に公開されたFirefox 157（脆弱性76件を修正）と比べると、件数は76件から167件に増えていますが、件数だけで深刻さは比べられません。内訳のHigh（157は38件、159は108件）も合わせて見るのが妥当です。

animation-timelineが入り、スクロール連動をCSSで宣言できる

Web Platform欄で、筆者がまず注目したのがスクロール連動アニメーションです。CSSアニメーションとWeb Animations APIのアニメーションを、スクロール位置や要素の表示状態に連動させられます。追加されたのは次のプロパティとインターフェースです。

CSSプロパティ：animation-timeline、scroll-timeline、view-timeline、animation-range
インターフェース：ScrollTimeline、ViewTimeline

従来は、スクロールに合わせた演出を作るのに、IntersectionObserverやscrollイベントを使ったJavaScriptが必要でした。CSSで宣言できると、スクリプトを書く量を減らせます。ただし、リリースノートに書かれているのは対応した事実までで、パフォーマンス面の数値は示されていません。実際に使う場合は、対応していないブラウザ向けの代替表示も用意しておく必要があります。

同じタグ名のカスタム要素を共存させるレジストリ

スコープ付きのカスタム要素レジストリも入りました。CustomElementRegistry()コンストラクタで新しいレジストリを作れて、グローバルなwindow.customElementsとは独立して動きます。これにより、同じタグ名のカスタム要素を、同じページに共存させることができます。

たとえば、バージョンの違う2つのWebコンポーネントライブラリを1ページで使うような場面で、同じ名前の登録が衝突しにくくなる、という使い方が考えられます。ライブラリを組み込む側にとっては、設計の選択肢が増える変更です。

Sanitizer APIの挙動とWebGL拡張

Sanitizer APIは、HTMLの解析中にサニタイズするように変わりました。除去される要素のカスタム要素コンストラクタは、実行されなくなったと説明されています。ユーザー入力のHTMLを扱うコードで、Sanitizer APIを使っている場合は、挙動の違いがないかテストで確かめておくと安心です。

WebGLでは、対応デバイスでEXT_clip_controlとEXT_texture_mirror_clamp_to_edgeを、WebGL 2ではEXT_texture_norm16を使えるようになりました。

Web Consoleでlet/constを再宣言可能に、読み込みの不具合も修正

Web Consoleでは、let、const、classで宣言した変数を再宣言できるようになりました。スニペットを編集して再実行しても、再宣言のエラーが出ません。動作確認を繰り返すときの手間が減ります。

既存サイトに関わる修正としては、HTTP/3のリクエストが拒否されたときにHTTP/2へフォールバックせず、Slackなど一部のサイトが読み込めない問題が直りました。長いドロップダウンリストで、末尾の選択肢がスクロールするまで空白になることがある問題も修正されています。Firefoxでだけ読み込めない、選択肢が見えないといった報告を受けていたなら、再確認する価値があります。

ユーザー向けの変更

ユーザー向けには、次の変更があります。

開いているタブを検索するショートカットが追加されました（Windows/LinuxはCtrl+Shift+A、macOSはCmd+Shift+A）。拡張機能とテーマの管理画面のショートカットは、Windows/LinuxでCtrl+Shift+F、macOSでCmd+Shift+Eに変わりました。どちらもabout:keyboardで変えられます。
保存したパスワードが、Passwordsツールを追加しなくても、サイドバーに標準で表示されるようになりました。
macOSでは、共有にOS標準の共有ピッカーを使うようになりました。
AIチャットボットの「ページを要約」は、ページのテキストではなく、ページのアドレスを送る仕様に変わりました。

非対応環境でどう見えるかを、先に決めておきたい

確認できた事実は、Firefox 159がスクロール連動アニメーション（4つのCSSプロパティと2つのインターフェース）に対応したこと、Highが108件を含む167件の修正が出たこと、ESRの2系統も同日に更新されたことです。他のブラウザでの対応状況は、今回のリリースノートからは分かりません。

そのうえで、筆者は、スクロール連動を使うときは「動くかどうか」より「動かない環境で何が起きるか」を先に決めておくほうが実務では効くと考えます。アニメーションが動かなくても内容が読めるよう、初期状態の表示を崩さない作りにしておくのが現実的です。また、セキュリティ更新は、Criticalが0件でもHighが108件ある以上、社内の検証用ブラウザやESRを配布している環境から順に進めるのが安全だと思います。