Thunderbird 158 — ускоренный поиск писем, исправления синхронизации и защита почтового клиента

13 октября 2026 года разработчики выпустили Thunderbird 158.0: быстрый фильтр писем стал отзывчивее, а ошибки при работе с адресными книгами CardDAV, календарями CalDAV и отправкой сообщений получили исправления. В тот же день вышла Thunderbird 153.5.0 ESR для тех, кто использует ветку длительной поддержки. Оба выпуска содержат исправления безопасности, включая уязвимости, описанные в отдельных бюллетенях Mozilla.

Быстрый фильтр Thunderbird точнее находит письма и реже мешает поиску

В Thunderbird 158.0 доработали Quick Filter — панель, которая позволяет быстро отобрать сообщения в открытой папке. По официальному описанию, фильтр стал отзывчивее. Разработчики не приводят конкретных измерений скорости, поэтому оценить ускорение в процентах по примечаниям к выпуску нельзя.

Эта панель полезна, когда во «Входящих» накопились сотни писем: можно оставить непрочитанные сообщения, письма с вложениями или результаты поиска по отправителю, получателю, теме и содержимому. Отдельное исправление касается имён с диакритическими знаками. Раньше поиск без акцентов мог пропустить контакт, в имени которого такие знаки присутствовали. Теперь Quick Filter сопоставляет эти варианты корректно.

Исправлен и сбой, при котором Thunderbird мог аварийно завершить работу во время поиска по тексту письма (Body search). Для человека, разыскивающего переписку по фразе из сообщения, это устраняет конкретную причину внезапного закрытия программы. Ускорение фильтра и устранение падения — разные изменения: первое касается скорости реакции интерфейса, второе — устойчивости поиска.

Ошибка Ctrl+Enter могла приводить к повторной отправке письма

В Thunderbird 158.0 устранили ситуацию, при которой удержание сочетания Ctrl+Enter могло непреднамеренно подтвердить диалог отправки и привести к дублированию письма. Такой сбой особенно неприятен в деловой переписке: получатель видел два экземпляра сообщения, хотя отправитель рассчитывал на один.

Исправлены и другие действия, с которыми сталкиваются при повседневной работе. При пересылке письма обычным текстом программа могла пропустить подпись, расположенную ниже цитируемого фрагмента. Переключение на объединённые папки (Unified Folders) иногда оставляло активным прежнее представление всех папок. В архивных папках «Входящие» могло отображаться техническое имя INBOX вместо локализованного названия.

Ещё одна небольшая, но конкретная ошибка затрагивала отделённые вложения: команда Copy Link Location копировала только имя файла, а не полный путь. В Thunderbird 158.0 исправили и это поведение.

CardDAV и CalDAV — исправлены забытые пароли и проблемы с контактами

Сразу несколько исправлений затрагивают тех, кто хранит контакты и календарные события на сервере. CardDAV — технология синхронизации адресных книг, а CalDAV — календарей. Благодаря им записи доступны с разных устройств, если соответствующие учётные записи настроены в Thunderbird.

До обновления сохранённые данные входа для CardDAV и CalDAV иногда исчезали после перезапуска программы. Пользователю приходилось снова проходить авторизацию. При подключении адресной книги CardDAV мог вообще не появляться запрос пароля, из-за чего настройка завершалась ошибкой.

Исправлен случай, когда адресная книга CardDAV не получала недавно добавленные контакты. Доработаны обнаружение серверов CardDAV по корректным ответам с несколькими статусами и обработка поля REV в карточках vCard. Это поле содержит сведения о времени изменения контакта; ошибка затрагивала его значение при обновлении записи.

Календарная часть Thunderbird тоже получила исправления: при запросе пароля теперь корректно определяется, для какого пользователя и календаря он нужен, обновлённые учётные данные сохраняются, а редактирование события больше не должно срываться из-за указанной в примечаниях ошибки локализации.

Thunderbird 158 закрывает уязвимости в обработке писем и Exchange

Для версии 158 Mozilla выпустила бюллетень MFSA 2026-109 с общим уровнем воздействия high. Среди проблем, напрямую связанных с почтовыми механизмами, выделяются две.

CVE-2026-110247 затрагивала библиотеку libmime, которая участвует в обработке содержимого электронных сообщений. Из-за переполнения при вычислении размера буфера достаточно большое письмо могло вызвать неправильное выделение памяти и повреждение соседних участков кучи. Mozilla оценила эту уязвимость как moderate. В бюллетене описан технический механизм ошибки, но нет основания утверждать, что она уже использовалась в реальных атаках.

CVE-2026-110249 связана с почтовым компонентом Exchange. Злоумышленный либо скомпрометированный сервер Exchange, а также атакующий, контролирующий соединение, мог отправить специальный корректно сформированный SOAP-ответ. Из-за чрезмерного числа атрибутов в элементе обработка могла надолго загрузить основной поток Thunderbird, делая программу практически неотзывчивой. Для этой проблемы указан уровень low.

В бюллетень входят и другие исправления, в том числе для компонентов платформы, общей с Firefox. Mozilla отдельно поясняет, что многие подобные ошибки обычно нельзя эксплуатировать непосредственно через чтение писем: выполнение сценариев в почтовом представлении отключено. Поэтому общий высокий уровень бюллетеня не следует воспринимать как утверждение, будто все перечисленные уязвимости позволяют атаковать пользователя простым открытием сообщения.

Помимо CVE, в Thunderbird 158.0 исправили работу исключений для удалённого содержимого. Раньше разрешение, заданное для сайта без указания схемы, могло действовать для HTTP, но не для HTTPS. Ещё один дефект позволял неправильно использовать шаблоны доменов наподобие *.example.com. Эти ошибки затрагивали предсказуемость правил, управляющих загрузкой внешних ресурсов в письмах.

Linux, корпоративные расширения и дополнительные сервисы Thunderbird

Для Linux исправлена ошибка SMTP-аутентификации с использованием Kerberos при включённом STARTTLS. Речь идёт о конфигурациях, где почтовый сервер принимает аутентификацию через Kerberos, а соединение переводится в защищённый режим TLS. Из-за прежнего сбоя отправка писем в таких условиях могла не пройти.

В корпоративных установках изменилось поведение политики ExtensionSettings: если администратор указал для дополнения адрес обновлений update_url, но не задал install_url, Thunderbird теперь может использовать адрес обновлений для установки дополнения. Эта доработка относится к централизованному управлению расширениями.

В числе других исправлений — повторяющиеся сообщения об ошибке соединения у POP-аккаунтов при запуске Thunderbird без сети, зацикливание авторизации Matrix SSO с отключённым сохранением токена и сбои RSS-фильтров, из-за которых могли теряться метки и останавливаться обработка следующих записей ленты.

Thunderbird 153.5.0 ESR — отдельный набор исправлений для длительной поддержки

Вместе с ежемесячной версией 158.0 вышла Thunderbird 153.5.0 ESR. ESR (Extended Support Release) ориентирована на организации и пользователей, которым нужен более предсказуемый цикл изменений: новые функции попадают в эту ветку реже, а обновления безопасности и исправления продолжают выходить.

В официальном списке изменений для 153.5.0 ESR перечислены четыре исправления: неверное сообщение в диагностике об отсутствии настройки отчётов о сбоях, неправильное переключение на Unified Folders, техническое имя INBOX у архивных папок и пропадающая подпись при пересылке письма обычным текстом. Улучшение отзывчивости Quick Filter и исправления CardDAV/CalDAV из выпуска 158.0 в примечаниях к этой ESR-версии не заявлены.

Безопасности ESR посвящён самостоятельный бюллетень MFSA 2026-110. В нём, как и в бюллетене для Thunderbird 158, присутствует уязвимость Exchange CVE-2026-110249. Перечни исправленных проблем у двух версий различаются: их нельзя считать полностью идентичными только потому, что релизы опубликованы в один день.

Два выпуска Thunderbird решают разные задачи

Октябрьские версии показывают различие между ветками Thunderbird. В 158.0 обновления затронули скорость и точность поиска, отправку сообщений, синхронизацию контактов, календарные учётные записи и корпоративные настройки. Выпуск 153.5.0 ESR сохранил более узкий набор изменений, сосредоточенный на отдельных ошибках интерфейса и исправлениях безопасности.

Численных результатов тестов Quick Filter разработчики не опубликовали. При этом сведения о конкретных дефектах — дублировании писем через Ctrl+Enter, исчезающих учётных данных CardDAV/CalDAV и ошибках обработки Exchange — позволяют понять, какие сценарии затронул релиз, независимо от того, насколько быстро сменится номер следующей версии.