Kerngegevens
- Leverancier
- Mozilla
- Product
- Firefox onderdeel ESR alle ESR-lekken
- Soort software
- browser
- Getroffen versies
- Firefox Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 158 MFSA2026-106 (opent in een nieuw venster)
- Firefox ESR 153.5 MFSA2026-106 (opent in een nieuw venster)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In het netwerkonderdeel (Networking) van Firefox zit een fout waarbij geheugen wordt gebruikt nadat het al is vrijgegeven (use-after-free). Een aanvaller kan hiermee mogelijk uit de beveiligde omgeving van de browser ontsnappen, de zogeheten sandbox. Het lek heeft ernst kritiek (9,6). Mozilla heeft de fout verholpen in nieuwere versies van de browser.
Wie loopt risico?
Je loopt risico als je Firefox of Firefox ESR gebruikt in een versie die nog niet is bijgewerkt. Een aanvaller moet je volgens de beoordeling wel iets laten doen, bijvoorbeeld een kwaadaardige pagina openen. De aanval kan via het netwerk plaatsvinden. In de gegevens staat niet dat het lek actief wordt misbruikt.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 158 | MFSA2026-106 (opent in een nieuw venster) | |
| Firefox ESR | 153.5 | MFSA2026-106 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk Firefox bij
Installeer Firefox 158 of nieuwer als je de gewone versie gebruikt. Controleer in het menu via Help en Over Firefox of je de nieuwste versie hebt.
Werk Firefox ESR bij
Gebruik je Firefox ESR, installeer dan Firefox ESR 153.5 of nieuwer.
Controleer beheerde systemen
Beheer je meerdere computers, zorg dan dat de update ook via je softwarebeheer of uitrol overal terechtkomt.
Wees voorzichtig tot de update is geïnstalleerd
Open geen links of pagina's van onbekende afzenders zolang je Firefox nog niet is bijgewerkt.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-109705, CVE-2026-109709, CVE-2026-109756, CVE-2026-109778. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een use-after-free (CWE-416) in het Networking-component van Firefox. Een object wordt na vrijgave nog gebruikt, waardoor het geheugen kan worden misbruikt. Dit kan leiden tot een ontsnapping uit de sandbox. De CVSS 3.1-vector (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) wijst op aanval via het netwerk, lage complexiteit, geen rechten nodig, wel gebruikersinteractie en een gewijzigde reikwijdte (scope) met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. De score is afkomstig van de CNA. Het lek is verholpen in Firefox 158 en Firefox ESR 153.5.
CVSS-vector (versie 3.1, basisscore 9,6, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-416 · Use-after-free (gebruik van geheugen na vrijgave)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee