Ich sehe das so:
Um manuelle Updates (durch "Drüber-Installieren") zu verhindern, müsste man das entsprechende Verzeichnis mit einem Schreibschutz (Admin-Rechte) versehen bzw. anderweitig sogar dem Admin die Schreibrechte dort nehmen.
Für die (halb-)automatischen Updates des Thunderbird selbst könnte man sich dies anschauen - allerdings erst ab dem 68er aufwärts, denke ich:
Die Update-URL könnte man ja auf eine Phantasie-URL (bspw: "https://localhost") umleiten, die letztlich kein Update zur Verfügung stellt.