Mozilla heeft op 13 oktober 2026 Firefox 158 uitgebracht, samen met nieuwe versies van Firefox ESR en Thunderbird. Op LekkenRadar tellen we in deze release 28 lekken met ernst hoog of kritiek. Vijf daarvan zijn kritiek: daarmee kan een aanvaller uit de sandbox van de browser ontsnappen, de afscherming die een kwaadaardige webpagina van de rest van je systeem moet scheiden. Er is geen actief misbruik gemeld. Eén update lost ze allemaal op.
- 28 lekken met ernst hoog of kritiek
- 5 kritiek, 23 hoog
- 0 actief misbruikt
Wat moet je doen?
Werk Firefox bij naar 158
Gebruik je Firefox ESR, werk dan bij naar ESR 153.5. Voor een deel van de lekken heeft Mozilla ook ESR 115.43 uitgebracht.
Werk Thunderbird bij
Opgelost in Thunderbird 158 en Thunderbird 153.5. De sandbox-ontsnapping in DOM: Content Processes (CVE-2026-109755) is alleen in Thunderbird 158 opgelost.
Controleer de versie en herstart
Kijk bij Over Firefox of Over Thunderbird welke versie draait. De update is pas actief na een herstart van het programma.
Rol centraal uit
Beheer je meerdere werkplekken, zet de nieuwe versies dan klaar via je beheertool (bijvoorbeeld Intune of een softwaredistributiepakket) en controleer daarna of er geen achterblijvers zijn.
Uitgewerkt op LekkenRadar
Deze dertien lekken uit deze release hebben een eigen pagina met uitleg en maatregelen.
- CVE-2026-109705: Networking, use-after-free omzeilt sandbox en site-isolatie (9,6)
- CVE-2026-109707: Networking, sandbox-ontsnapping via use-after-free (9,6)
- CVE-2026-109708: Networking, sandbox-ontsnapping via grensfout (9,6)
- CVE-2026-109755: DOM: Content Processes, sandbox-ontsnapping (9,6)
- CVE-2026-109740: Widget: Win32, sandbox-ontsnapping (9,6)
- CVE-2026-110249: alleen Thunderbird, vastloper via Exchange-antwoord (8,6)
- CVE-2026-110247: alleen Thunderbird, integeroverloop in libmime (8,4)
- CVE-2026-109709: Process Sandboxing, informatielek en rechtenverhoging (8,8)
- CVE-2026-109756: DOM Navigation, rechtenuitbreiding (8,8)
- CVE-2026-109778: WebExtensions, rechtenverhoging (8,8)
- CVE-2026-109739: WebExtensions, rechtenverhoging (8,8)
- CVE-2026-109704: updatecomponent, rechtenverhoging (8,8)
- CVE-2026-109743: Panning and Zooming, rechtenverhoging (8,8)
Overige lekken in deze release
Deze lekken hebben geen eigen pagina. Ze worden met dezelfde update opgelost.
| CVE | Ernst | Wat is het |
|---|---|---|
| CVE-2026-109730 | Hoog 8,8 | Graphics: integeroverloop (ook opgelost in ESR 115.43) |
| CVE-2026-109757 | Hoog 8,3 | Networking: racecondition waarmee de sandbox omzeild kan worden |
| CVE-2026-109733 | Hoog 8,1 | JavaScript-engine: JIT-miscompilatie, type confusion (ook opgelost in ESR 115.43) |
| CVE-2026-109753 | Hoog 8,1 | Layout: onjuiste grenscontrole in het geheugen (ook opgelost in ESR 115.43) |
| CVE-2026-109715 | Hoog 8,1 | JavaScript-engine: onjuiste grenscontrole in het geheugen (ook opgelost in ESR 115.43) |
| CVE-2026-109716 | Hoog 8,1 | JavaScript-engine: onjuiste grenscontrole in het geheugen (ook opgelost in ESR 115.43) |
| CVE-2026-109722 | Hoog 8,1 | JavaScript-engine: JIT-miscompilatie (ook opgelost in ESR 115.43) |
| CVE-2026-109712 | Hoog 7,1 | Graphics: sandbox-ontsnapping door niet-geïnitialiseerd geheugen (ook opgelost in ESR 115.43) |
| CVE-2026-109734 | Hoog 8,1 | DOM: omzeiling van een beveiligingsmaatregel |
| CVE-2026-109736 | Hoog 8,1 | Layout: frame poisoning |
| CVE-2026-109737 | Hoog 8,1 | Zie de omschrijving bij de NVD |
| CVE-2026-109744 | Hoog 8,1 | Zie de omschrijving bij de NVD |
| CVE-2026-109720 | Hoog 7,1 | Zie de omschrijving bij de NVD |
| CVE-2026-109782 | Hoog 8,3 | File Handling: omzeiling van een beveiligingsmaatregel (Firefox ESR en Thunderbird 153.5) |
| CVE-2026-109783 | Hoog 8,3 | File Handling: omzeiling van een beveiligingsmaatregel (Firefox ESR en Thunderbird 153.5) |