Kerngegevens
- Leverancier
- Mozilla
- Producten
- Firefox onderdeel ESR alle ESR-lekken, Thunderbird
- Soort software
- browser
- Getroffen versies
- Firefox Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 158 MFSA2026-106 (opent in een nieuw venster)
- Firefox ESR 153.5 MFSA2026-106 (opent in een nieuw venster)
- Thunderbird 158 MFSA2026-106 (opent in een nieuw venster)
- Thunderbird ESR 153.5 MFSA2026-106 (opent in een nieuw venster)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 14 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In het onderdeel van Firefox en Thunderbird dat programma-updates afhandelt (de Application Update-component) zit een fout waardoor iemand meer rechten kan krijgen dan bedoeld is. Mozilla heeft dit opgelost in nieuwe versies. De ernst is hoog (8,8).
Wie loopt risico?
Je loopt risico als je Firefox, Firefox ESR of Thunderbird gebruikt in een versie waarin dit nog niet is opgelost. De gegevens laten zien dat de aanval via het netwerk kan, dat een aanvaller al beperkte rechten nodig heeft en dat jij zelf niets hoeft te doen. Er is geen aanwijzing dat het lek actief wordt misbruikt en er is geen openbare exploit bekend.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 158 | MFSA2026-106 (opent in een nieuw venster) | |
| Firefox ESR | 153.5 | MFSA2026-106 (opent in een nieuw venster) | |
| Thunderbird | 158 | MFSA2026-106 (opent in een nieuw venster) | |
| Thunderbird ESR | 153.5 | MFSA2026-106 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je versie
Open in Firefox of Thunderbird het menu Over Firefox of Over Thunderbird om te zien welke versie je gebruikt.
Update Firefox
Werk Firefox bij naar versie 158. Gebruik je Firefox ESR, ga dan naar versie 153.5.
Update Thunderbird
Werk Thunderbird bij naar versie 158, of naar 153.5 als je de ESR-lijn volgt.
Beheer je meerdere computers?
Zorg dat de nieuwe versies ook via je softwarebeheer of updatebeleid op alle systemen worden uitgerold.
Lees het advies van Mozilla
In het advies van de leverancier (mfsa2026-106) staan de details. Dezelfde update is ook van belang voor andere lekken uit dit advies.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-109739, CVE-2026-109743. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om onjuist beheer van rechten (CWE-269) in de Application Update-component van Firefox en Thunderbird. Daardoor kan een aanvaller met lage rechten zijn rechten verhogen. De CVSS-vector (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) wijst op aanval via het netwerk, lage complexiteit, lage benodigde rechten en geen gebruikersinteractie. Het effect op vertrouwelijkheid, integriteit en beschikbaarheid is hoog. De fout is opgelost in Firefox 158, Firefox ESR 153.5, Thunderbird 158 en Thunderbird 153.5.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-269 · Onjuist beheer van rechten
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee