Kerngegevens
- Leverancier
- Mozilla
- Producten
- Firefox onderdeel ESR alle ESR-lekken, Thunderbird
- Soort software
- browser
- Getroffen versies
- Firefox ouder dan 159
- Firefox ESR ouder dan 115.44 en ouder dan 153.6
- Thunderbird ouder dan 159 en ouder dan 153.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 159 MFSA2026-118 (opent in een nieuw venster)
- Firefox ESR 153.6 MFSA2026-120 (opent in een nieuw venster)
- Firefox ESR 115.44 MFSA2026-119 (opent in een nieuw venster)
- Thunderbird 159 MFSA2026-121 (opent in een nieuw venster)
- Thunderbird 153.6 MFSA2026-122 (opent in een nieuw venster)
- CVE gepubliceerd
- 27 oktober 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
Firefox en Thunderbird ouder dan 159 bevatten een fout in de grenscontrole van het onderdeel Networking; Mozilla loste die op in versie 159 en in de ESR-versies 153.6 en 115.44 (Thunderbird 153.6). Daardoor kan een aanvaller meer rechten krijgen dan de bedoeling is.
Wie loopt risico?
Je loopt risico als je Firefox, Firefox ESR of Thunderbird gebruikt in een versie die nog niet is bijgewerkt. De aanval kan via het netwerk plaatsvinden, zonder dat de aanvaller inloggegevens nodig heeft en zonder dat jij iets hoeft te doen. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt, en er is geen publieke exploit bekend.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 159 | MFSA2026-118 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Firefox ESR | 153.6 | MFSA2026-120 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Firefox ESR | 115.44 | MFSA2026-119 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 159 | MFSA2026-121 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 153.6 | MFSA2026-122 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk bij naar de opgeloste versie
Installeer de versie die bij jouw programma en versielijn hoort: Firefox 159, Firefox ESR 153.6 of 115.44, of Thunderbird 159 of 153.6. In het overzicht met updates op deze pagina staan per versielijn het advies van Mozilla en de downloadlink.
Controleer de versie
Open het menu Over Firefox of Over Thunderbird om te zien welke versie je gebruikt en of de update al is binnengehaald.
Beheer je meerdere computers?
Zorg dat de update ook via je softwarebeheer wordt uitgerold, voor elke versielijn die je in gebruik hebt.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt tientallen lekken, waaronder CVE-2026-117866, CVE-2026-117868 en CVE-2026-117869. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de Networking-component van Firefox en Thunderbird en komt voort uit onjuiste grenscontroles. Dit valt onder CWE-119, het onjuist beperken van bewerkingen binnen de grenzen van een geheugenbuffer. Volgens de CVSS-vector (3.1) is de aanval uit te voeren via het netwerk, met lage complexiteit, zonder vereiste rechten en zonder gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog. De opgeloste versies zijn Firefox 159, Firefox ESR 115.44 en 153.6, en Thunderbird 159 en 153.6.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-119 · Onjuiste beperking van bewerkingen binnen de grenzen van een geheugenbuffer
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee