Kerngegevens
- Leverancier
- Mozilla
- Producten
- Firefox, Thunderbird
- Soort software
- browser
- Getroffen versies
- Firefox ouder dan 158
- Thunderbird ouder dan 158
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 158 MFSA2026-106 (opent in een nieuw venster)
- Thunderbird 158 MFSA2026-106 (opent in een nieuw venster)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Firefox en Thunderbird zit een fout in het onderdeel DOM: Content Processes waarmee een aanvaller uit de beveiligde sandbox van de browser kan ontsnappen. De sandbox is bedoeld om schade te beperken als er iets misgaat in een webpagina. Als die afscherming doorbroken wordt, kan een aanvaller mogelijk meer doen op je systeem. Mozilla heeft het probleem opgelost in versie 158.
Wie loopt risico?
Je loopt risico als je Firefox of Thunderbird gebruikt in een versie die ouder is dan 158. Volgens de beoordeling is de aanval via het netwerk mogelijk en moet de gebruiker iets doen, bijvoorbeeld een speciaal opgemaakte pagina of inhoud openen. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt en er is geen publiek exploit bekend.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 158 | MFSA2026-106 (opent in een nieuw venster) | |
| Thunderbird | 158 | MFSA2026-106 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk Firefox bij
Update Firefox naar versie 158 of nieuwer. Dit kan via het menu Help en dan Over Firefox, waar de browser zelf naar updates zoekt.
Werk Thunderbird bij
Update Thunderbird naar versie 158 of nieuwer. Mozilla noemt voor dit lek geen oplossing in de ESR-lijn 153.5.
Controleer beheerde systemen
Beheer je meerdere computers, controleer dan of Firefox en Thunderbird overal naar versie 158 of hoger zijn bijgewerkt.
Lees het advies van Mozilla
Meer details staan in de beveiligingsadviezen mfsa2026-106 en mfsa2026-109 van Mozilla.
Dezelfde update lost meer lekken op
Firefox 158 lost in totaal 24 ernstige lekken op, waaronder nog vier kritieke sandbox-ontsnappingen. Zie het overzicht op https://lekkenradar.nl/update-mozilla-firefox-158-oktober-2026/ (opent in een nieuw venster).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft een sandbox escape in het onderdeel DOM: Content Processes van Firefox en Thunderbird. Een gecompromitteerd contentproces kan hierdoor de beperkingen van de sandbox omzeilen. De CVSS-vector (3.1) wijst op aanval via het netwerk met lage complexiteit, zonder vereiste rechten maar met gebruikersinteractie. De scope verandert, en de gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid zijn alle drie hoog. Het lek is geclassificeerd als CWE-693 en is opgelost in Firefox 158 en Thunderbird 158.
CVSS-vector (versie 3.1, basisscore 9,6, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-693 · Falen van beveiligingsmechanismen (protection mechanism failure)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee