Kerngegevens
- Leverancier
- Mozilla
- Producten
- Firefox onderdeel ESR alle ESR-lekken, Thunderbird
- Soort software
- browser
- Getroffen versies
- Firefox ouder dan 159
- Firefox ESR ouder dan 115.44 en ouder dan 153.6
- Thunderbird ouder dan 159 en ouder dan 153.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 159 MFSA2026-118 (opent in een nieuw venster)
- Firefox ESR 153.6 MFSA2026-120 (opent in een nieuw venster)
- Firefox ESR 115.44 MFSA2026-119 (opent in een nieuw venster)
- Thunderbird 159 MFSA2026-121 (opent in een nieuw venster)
- Thunderbird 153.6 MFSA2026-122 (opent in een nieuw venster)
- CVE gepubliceerd
- 27 oktober 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
Firefox en Thunderbird ouder dan 159 bevatten een fout in het onderdeel DOM: Core & HTML; Mozilla loste die op in versie 159 en in de ESR-versies 153.6 en 115.44 (Thunderbird 153.6). Het gaat om een use-after-free: het programma gebruikt een stuk geheugen nog nadat het is vrijgegeven. Zo'n fout kan ertoe leiden dat een aanvaller eigen code uitvoert of gegevens kan inzien of aanpassen.
Wie loopt risico?
Je loopt risico als je een Firefox- of Thunderbird-versie gebruikt die ouder is dan de opgeloste versies. De aanval verloopt via het netwerk en vraagt om een handeling van jou, bijvoorbeeld het openen van een speciaal gemaakte pagina of inhoud. Er is geen melding dat het lek actief wordt misbruikt.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 159 | MFSA2026-118 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Firefox ESR | 153.6 | MFSA2026-120 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Firefox ESR | 115.44 | MFSA2026-119 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 159 | MFSA2026-121 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 153.6 | MFSA2026-122 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk bij naar de opgeloste versie
Installeer de versie die bij jouw programma en versielijn hoort: Firefox 159, Firefox ESR 153.6 of 115.44, of Thunderbird 159 of 153.6. In het overzicht met updates op deze pagina staan per versielijn het advies van Mozilla en de downloadlink.
Controleer je versie
Open het menu Over Firefox of Over Thunderbird om te zien welke versie je hebt. Het programma zoekt daar ook automatisch naar updates.
Beheer je meerdere computers?
Controleer dan of automatische updates aanstaan en of alle systemen de opgeloste versie hebben, voor elke versielijn die je in gebruik hebt.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt tientallen lekken, waaronder CVE-2026-117866, CVE-2026-117867, CVE-2026-117868 en CVE-2026-117870. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een use-after-free in het onderdeel DOM: Core & HTML van de Gecko-engine. Daarbij wordt een verwijzing naar geheugen gebruikt nadat dat geheugen is vrijgegeven. Dat kan geheugenbeschadiging veroorzaken en mogelijk leiden tot het uitvoeren van willekeurige code. De CVSS-vector (AV:N/AC:L/PR:N/UI:R) wijst op een aanval via het netwerk, met lage complexiteit, zonder vereiste rechten en met gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog. Mozilla heeft de fout verholpen in Firefox 159, Firefox ESR 115.44, Firefox ESR 153.6, Thunderbird 159 en Thunderbird 153.6.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee