Kerngegevens
- Leverancier
- Mozilla
- Producten
- Firefox onderdeel ESR alle ESR-lekken, Thunderbird
- Soort software
- browser
- Getroffen versies
- Firefox ouder dan 158
- Firefox ESR ouder dan 153.5
- Thunderbird ouder dan 158, en ouder dan 153.5 in de ESR-lijn
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 158 MFSA2026-106 (opent in een nieuw venster)
- Firefox ESR 153.5 MFSA2026-106 (opent in een nieuw venster)
- Thunderbird 158 MFSA2026-106 (opent in een nieuw venster)
- Thunderbird 153.5 MFSA2026-106 (opent in een nieuw venster)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In het onderdeel Networking van Firefox en Thunderbird zit een fout in de controle van grenzen bij het verwerken van gegevens. Hierdoor kan een aanvaller mogelijk uit de beveiligde omgeving (sandbox) van het programma ontsnappen. Die sandbox moet normaal voorkomen dat schadelijke code de rest van je systeem bereikt. Mozilla heeft het lek verholpen in nieuwe versies.
Wie loopt risico?
Je loopt risico als je Firefox of Thunderbird gebruikt in een versie die nog niet is bijgewerkt. De aanval verloopt via het netwerk en vraagt dat jij zelf iets doet, bijvoorbeeld een kwaadaardige pagina openen. Volgens de gegevens wordt het lek niet actief misbruikt en is er geen publieke exploit bekend. De CVSS-score van 9,6 komt uit de beoordeling van Mozilla zelf en valt onder de ernst kritiek.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 158 | MFSA2026-106 (opent in een nieuw venster) | |
| Firefox ESR | 153.5 | MFSA2026-106 (opent in een nieuw venster) | |
| Thunderbird | 158 | MFSA2026-106 (opent in een nieuw venster) | |
| Thunderbird | 153.5 | MFSA2026-106 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk Firefox bij
Installeer Firefox 158. Gebruik je de ESR-uitvoering (Extended Support Release), dan is Firefox ESR 153.5 de opgeloste versie.
Werk Thunderbird bij
Installeer Thunderbird 158 of Thunderbird 153.5, afhankelijk van de uitvoering die je gebruikt.
Controleer je versie
Open het menu Over Firefox of Over Thunderbird om te zien welke versie je hebt. Het programma zoekt daar ook automatisch naar updates. Herstart daarna het programma.
Lees het advies van Mozilla
Meer details staan in de adviezen van Mozilla (mfsa2026-106 en mfsa2026-108).
Dezelfde update lost meer lekken op
Firefox 158 lost in totaal 24 ernstige lekken op, waaronder nog vier kritieke sandbox-ontsnappingen. Zie het overzicht op https://lekkenradar.nl/update-mozilla-firefox-158-oktober-2026/ (opent in een nieuw venster).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in het onderdeel Networking van Firefox en Thunderbird. Door onjuiste grenscondities (incorrect boundary conditions) kan een bewerking buiten de bedoelde geheugengrenzen plaatsvinden. Dit past bij CWE-119, onjuiste beperking van bewerkingen binnen de grenzen van een geheugenbuffer. Een aanvaller kan dit gebruiken om uit de sandbox te ontsnappen. De CVSS-vector (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) laat zien dat de aanval via het netwerk kan, weinig complexiteit vraagt, geen rechten nodig heeft en gebruikersinteractie vereist. Het bereik verandert (scope changed) en de gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid zijn hoog.
CVSS-vector (versie 3.1, basisscore 9,6, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-119 · Onjuiste beperking van bewerkingen binnen de grenzen van een geheugenbuffer
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee