Firefox 160 opravuje 99 chyb, z toho 57 vysokých a 9 úniků ze sandboxu – aktualizujte i ESR

Co se stalo

Mozilla vydala 10. listopadu 2026 novou verzi prohlížeče Firefox 160 a zároveň opravné verze s rozšířenou podporou Firefox ESR 153.7 a Firefox ESR 115.45. Bezpečnostní bulletin MFSA 2026-125 pro Firefox 160 uvádí 99 zranitelností: 57 s vysokou, 24 se střední a 18 s nízkou závažností. Kritickou závažnost Mozilla tentokrát neudělila žádné.

Velká část oprav míří i do verzí ESR, které firmy nasazují kvůli delší podpoře: ESR 153.7 opravuje 81 chyb (51 vysokých), ESR 115.45 28 chyb (všechny vysoké). Týž den vyšly také Thunderbird 160 a 153.7.

Na rozdíl od nedávné opravy Chrome (CVE-2026-125350) Mozilla u žádné z chyb neuvádí zneužívání. Všechny tři úniky ze sandboxu, které uvádíme níže jako příklad, nahlásila sama Mozilla.

Technické podrobnosti

Mozilla u jednotlivých chyb zveřejnila jen typ a komponentu. Rozdělení 57 vysokých chyb ve Firefoxu 160 (náš součet podle názvů v bulletinu):

Pět z devíti úniků ze sandboxu vzniká použitím uvolněné paměti, dva chybnými mezemi, takže use-after-free je celkem příčinou 37 vysokých chyb.

• Únik ze sandboxu je nejzávažnější typ: Firefox spouští obsah webových stránek v izolovaných procesech s omezenými právy. Chyba, která izolaci prolomí, může útočníkovi – v kombinaci s další chybou v obsahu stránky – otevřít cestu k systému. Mozilla takových chyb opravila devět, mimo jiné v grafice textu, v komunikaci mezi procesy (IPC), ve WebGL, v Service Workers a v Cache API.
• CVE-2026-124853 (únik ze sandboxu kvůli chybným mezím v komponentě Graphics: Text) má v NVD skóre CVSS 3.1 9,6 od CISA (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H – útok po síti, bez přihlášení, oběť musí otevřít stránku). Je opravená ve všech třech větvích.
• Use-after-free (použití už uvolněné paměti) je nejčastější typ. U prohlížeče obvykle znamená, že upravená stránka může poškodit paměť a za příznivých podmínek spustit kód v procesu obsahu.
• Obejití same-origin policy (CVE-2026-124874, nahlásil Minseong Kim) by mohlo stránce dovolit číst data jiného webu, ke kterým nemá mít přístup.

Podrobnosti v systému Bugzilla Mozilla obvykle zpřístupní až po rozšíření opravy. Návod ke zneužití nezveřejňujeme.

Koho se to týká

• Firefox před verzí 160 (Windows, macOS, Linux).
• Firefox ESR před 153.7 a před 115.45 – typicky firemní instalace spravované přes politiky.
• Thunderbird před 160 a 153.7.
• Linuxové distribuce vydávají vlastní balíčky – řiďte se jejich bezpečnostními oznámeními (u Snap a Flatpak se aktualizace stahuje z obchodu).

Verzi zjistíte ve Windows takto (PowerShell, pro hromadnou kontrolu přes správu stanic):

(Get-Item "C:\Program Files\Mozilla Firefox\firefox.exe").VersionInfo.ProductVersion

V Linuxu: firefox --version.

Jak poznat napadení

Mozilla indikátory napadení nezveřejnila a o útocích nepíše. Napadení přes chybu v prohlížeči se z logů pozná těžko. Z praxe:

• Sledujte v EDR neobvyklé podřízené procesy Firefoxu (např. firefox.exe spouštějící cmd.exe, powershell.exe nebo skripty) – únik ze sandboxu by se mohl projevit právě tak.
• Opakované pády procesů obsahu (hlášení o pádu v about:crashes) na konkrétních stránkách stojí za prověření.
• Podezřelé domény a IP z logů proxy rychle vytáhnete naším extraktorem IOC – běží jen ve vašem prohlížeči.

Co udělat

1. Aktualizujte na Firefox 160, ESR 153.7 nebo ESR 115.45 a prohlížeč restartujte – oprava se projeví až po restartu.
2. Správci: ověřte verze na stanicích a zkontrolujte, že politiky nezakazují aktualizace (DisableAppUpdate) bez náhradního způsobu nasazení.
3. Aktualizujte i Thunderbird na 160 nebo 153.7.
4. Používáte-li ještě ESR 115 kvůli starému systému, naplánujte přechod na podporovaný systém a ESR 153.

Časová osa

Aktualizace

• 12. 11. 2026 – první verze článku.