Kerngegevens
- Leverancier
- Mozilla
- Producten
- Firefox onderdeel ESR alle ESR-lekken, Thunderbird
- Soort software
- browser
- Getroffen versies
- Firefox ouder dan 159
- Firefox ESR ouder dan 115.44 en ouder dan 153.6
- Thunderbird ouder dan 159 en ouder dan 153.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 159 MFSA2026-118 (opent in een nieuw venster)
- Firefox ESR 153.6 MFSA2026-120 (opent in een nieuw venster)
- Firefox ESR 115.44 MFSA2026-119 (opent in een nieuw venster)
- Thunderbird 159 MFSA2026-121 (opent in een nieuw venster)
- Thunderbird 153.6 MFSA2026-122 (opent in een nieuw venster)
- CVE gepubliceerd
- 27 oktober 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
Firefox en Thunderbird ouder dan 159 bevatten een geheugenfout van het type use-after-free in het onderdeel Graphics: Canvas2D; Mozilla loste die op in versie 159 en in de ESR-versies 153.6 en 115.44 (Thunderbird 153.6). Daarbij gebruikt het programma geheugen nog nadat het is vrijgegeven. Door deze fout kan een aanvaller mogelijk meer rechten krijgen dan de bedoeling is.
Wie loopt risico?
Je loopt risico als je Firefox, Firefox ESR of Thunderbird gebruikt in een versie die ouder is dan de opgeloste versies. De aanvalsroute loopt via het netwerk, en volgens de score is daarvoor geen inlog nodig. Het lek staat niet op de lijst van actief misbruikte lekken. Toch is bijwerken verstandig, zeker omdat de browser dagelijks met websites van derden werkt.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 159 | MFSA2026-118 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Firefox ESR | 153.6 | MFSA2026-120 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Firefox ESR | 115.44 | MFSA2026-119 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 159 | MFSA2026-121 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 153.6 | MFSA2026-122 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je versie
Open in Firefox of Thunderbird het menu Over Firefox of Over Thunderbird en kijk welke versie je gebruikt.
Werk bij naar de opgeloste versie
Installeer de versie die bij jouw programma en versielijn hoort: Firefox 159, Firefox ESR 153.6 of 115.44, of Thunderbird 159 of 153.6. In het overzicht met updates op deze pagina staan per versielijn het advies van Mozilla en de downloadlink.
Start het programma opnieuw op
Herstart Firefox of Thunderbird na de update, zodat de nieuwe versie echt actief is.
Beheer je meerdere computers?
Rol de opgeloste versies uit via je gebruikelijke softwarebeheer, voor elke versielijn die je in gebruik hebt.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt tientallen lekken, waaronder CVE-2026-117867, CVE-2026-117868, CVE-2026-117869 en CVE-2026-117870. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in het onderdeel Graphics: Canvas2D en is een use-after-free, geregistreerd als CWE-416. Een object in het geheugen wordt vrijgegeven, terwijl er nog een verwijzing naar bestaat die daarna opnieuw wordt gebruikt. Volgens de beschrijving kan dit leiden tot privilege escalation. De CVSS-vector (3.1) noemt aanval via het netwerk, lage complexiteit, geen vereiste rechten en geen gebruikersinteractie, met een laag effect op vertrouwelijkheid, integriteit en beschikbaarheid. Mozilla loste het probleem op in Firefox 159, Firefox ESR 115.44, Firefox ESR 153.6, Thunderbird 159 en Thunderbird 153.6.
CVSS-vector (versie 3.1, basisscore 7,3, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L- Zwakheid (CWE)
- CWE-416 · Gebruik van geheugen na vrijgave (use-after-free)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee