Thunderbird 158.0.1: Exchange-Passwort konnte bei Einrichtung unverschlüsselt übertragen werden
Mozilla hat eine heikle Schwachstelle in Thunderbird beim Einrichten von Exchange-Konten geschlossen. In bestimmten AutoDiscover-Abfragen konnte Thunderbird während der Kontoeinrichtung Zugangsdaten über eine unverschlüsselte HTTP-Verbindung übertragen. Ein Angreifer, der den Netzwerkverkehr abfangen kann, hätte unter diesen Bedingungen das Passwort mitlesen können. Das Problem trägt die Kennung CVE-2026-113866 und ist in Thunderbird 158.0.1 sowie im gepflegten ESR-Zweig 153.5.1 behoben.
Was beim Exchange-AutoDiscover schiefging
AutoDiscover soll E-Mail-Programme automatisch mit den richtigen Serveradressen und Anmeldeverfahren eines Exchange-Kontos verbinden. Die Suche nach einem passenden Dienst kann mehrere Adressen und Verfahren umfassen. Nach Mozillas Sicherheitsmeldung wurde dabei auch eine unverschlüsselte HTTP-Adresse abgefragt – und aufgrund eines Programmfehlers die bereits eingegebene Kennung samt Passwort mitgesendet.
HTTP schützt die Übertragung nicht gegen Mithören und Manipulation. Besonders in fremden WLANs oder kompromittierten Netzwerken kann das problematisch werden. Der Fehler betrifft ausdrücklich die Konfiguration eines Exchange-Kontos, nicht jede gewöhnliche E-Mail und nicht jede laufende IMAP-Verbindung.
Warum die Schwachstelle ernst ist
Ein abgefangenes Exchange-Passwort kann über das Postfach hinaus Risiken bergen, wenn dieselben Zugangsdaten für weitere Dienste genutzt werden. Eine erfolgreiche Ausnutzung erfordert allerdings passende Bedingungen beim Verbindungsaufbau und einen Angreifer in Position zum Mitschneiden oder Umlenken der Verbindung. Die veröffentlichte Mozilla-Meldung bedeutet nicht, dass bereits jeder betroffene Account kompromittiert wurde.
Die Advisory-Einstufung lautet „high“. Mozilla betont zugleich, dass viele allgemeine Browser-Schwachstellen in Thunderbird nicht einfach durch das Lesen einer Mail ausgelöst werden können, weil die Skriptausführung dort eingeschränkt ist. Diese konkrete Exchange-Schwachstelle liegt jedoch in einem anderen Bereich: der Kontoanmeldung.
Was Thunderbird-Nutzer jetzt tun sollten
- Version prüfen: Über Hilfe → Über Thunderbird aktualisieren. Für den regulären Zweig ist Thunderbird 158.0.1, für ESR 153.5.1 maßgeblich.
- Neu eingerichtete Exchange-Konten betrachten: Wer einen Account mit einer anfälligen Version in einem nicht vertrauenswürdigen Netzwerk eingerichtet hat, sollte den Administrator informieren und einen Passwortwechsel prüfen.
- Mehrfach genutzte Passwörter ersetzen: Insbesondere dann, wenn dieselbe Kennung auch andere Dienste schützt.
- Unternehmensumgebungen prüfen: Die IT sollte zentrale Updateverteilung und betroffene Einrichtungsvorgänge nachvollziehen.
Passwort wechseln oder nicht?
Ein vorsorglicher Passwortwechsel kann bei einem konkret möglichen Abgriff sinnvoll sein. Bei Warnungen zu ungewöhnlichen Zertifikaten lohnt zusätzlich der Blick auf den aktuellen Vorfall um kompromittierte HTTPS-Zertifikate; das ist ein eigener Sachverhalt und kein Nachweis für ein betroffenes Exchange-Konto. Alle Thunderbird-Nutzer ohne Exchange-Konto pauschal dazu aufzufordern, wäre dagegen übertrieben. Wichtiger ist, die korrigierte Anwendung einzusetzen und bei verdächtigen Anmeldungen die Kontoprotokolle zu prüfen.
Quellen: Mozilla MFSA 2026-114 · Mozilla MFSA 2026-115 (ESR). Stand 21. Oktober 2026.
