Kerngegevens
- Leverancier
- Mozilla
- Product
- Firefox onderdeel ESR alle ESR-lekken
- Soort software
- browser
- Getroffen versies
- Firefox Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 158 MFSA2026-106 (opent in een nieuw venster)
- Firefox ESR 153.5 MFSA2026-106 (opent in een nieuw venster)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In het onderdeel Networking van Firefox zit een fout waarbij geheugen wordt gebruikt nadat het al is vrijgegeven (use-after-free). Door onjuiste grenscontroles kan een aanvaller de sitesisolatie omzeilen en uit de sandbox van de browser ontsnappen. De sandbox en sitesisolatie zijn bedoeld om schade door kwaadaardige websites te beperken.
Wie loopt risico?
Je loopt risico als je een Firefox-versie gebruikt die ouder is dan Firefox 158, of een Firefox ESR-versie ouder dan 153.5. Een aanvaller moet je eerst zover krijgen dat je iets doet, bijvoorbeeld een speciaal opgebouwde pagina openen. Volgens de gegevens wordt het lek nog niet actief misbruikt en is er geen openbare exploit bekend.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 158 | MFSA2026-106 (opent in een nieuw venster) | |
| Firefox ESR | 153.5 | MFSA2026-106 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk Firefox bij
Update Firefox naar versie 158 of nieuwer. Controleer dit via het menu Help en dan Over Firefox.
Gebruik je Firefox ESR?
Werk Firefox ESR bij naar versie 153.5 of nieuwer.
Herstart de browser
Sluit Firefox na de update volledig af en start het opnieuw, zodat de oplossing actief wordt.
Beheer je meerdere computers?
Controleer of de nieuwe versie ook op alle werkplekken in jouw organisatie is uitgerold.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-109707, CVE-2026-109709, CVE-2026-109756, CVE-2026-109778. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een use-after-free (CWE-416) in het Networking-onderdeel van Firefox. Onjuiste grenscondities leiden tot een sandbox-ontsnapping en een probleem met sitesisolatie. De CVSS-vector (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) wijst op aanval via het netwerk, lage complexiteit, geen vereiste rechten en gebruikersinteractie. De scope is gewijzigd (S:C), omdat de impact buiten het kwetsbare onderdeel reikt. De score is afkomstig van de CNA. Het lek is verholpen in Firefox 158 en Firefox ESR 153.5.
CVSS-vector (versie 3.1, basisscore 9,6, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-416 · Use-after-free (gebruik van geheugen na vrijgave)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee