Kerngegevens
- Leverancier
- Mozilla
- Producten
- Firefox onderdeel ESR alle ESR-lekken, Thunderbird
- Soort software
- browser
- Getroffen versies
- Firefox ouder dan 158
- Firefox ESR ouder dan 153.5
- Thunderbird ouder dan 158, en ouder dan 153.5 in de ESR-lijn
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 158 MFSA2026-106 (opent in een nieuw venster)
- Firefox ESR 153.5 MFSA2026-106 (opent in een nieuw venster)
- Thunderbird 158 MFSA2026-106 (opent in een nieuw venster)
- Thunderbird 153.5 MFSA2026-106 (opent in een nieuw venster)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 19 oktober 2026
- Laatst gewijzigd bij NVD
- 19 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Firefox en Thunderbird zit een fout in het onderdeel Widget: Win32. Door onjuiste controles op grenzen kan code uit de sandbox ontsnappen. De sandbox is de beveiligde omgeving die een browser rond webinhoud bouwt. Mozilla heeft de fout verholpen in nieuwere versies.
Wie loopt risico?
Je loopt risico als je Firefox, Firefox ESR of Thunderbird op Windows gebruikt in een versie die ouder is dan de opgeloste versies. Het onderdeel Widget: Win32 is het Windows-specifieke deel van de programma's. Een aanval gaat via het netwerk en vraagt dat je iets doet, bijvoorbeeld een speciaal opgemaakte pagina of bericht openen. In de gegevens staan geen aanwijzingen dat het lek actief wordt misbruikt.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 158 | MFSA2026-106 (opent in een nieuw venster) | |
| Firefox ESR | 153.5 | MFSA2026-106 (opent in een nieuw venster) | |
| Thunderbird | 158 | MFSA2026-106 (opent in een nieuw venster) | |
| Thunderbird | 153.5 | MFSA2026-106 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je versie
Open in Firefox of Thunderbird het menu 'Over' om te zien welke versie je gebruikt.
Werk Firefox bij
Installeer Firefox 158. Gebruik je Firefox ESR, werk dan bij naar ESR 153.5.
Werk Thunderbird bij
Installeer Thunderbird 158, of Thunderbird 153.5 als je die uitgave volgt.
Beheer je meerdere systemen?
Controleer of de automatische updates werken en of de opgeloste versies overal zijn uitgerold, vooral op Windows-werkplekken.
Dezelfde update lost meer lekken op
Firefox 158 lost in totaal 24 ernstige lekken op, waaronder nog vier kritieke sandbox-ontsnappingen. Zie het overzicht op https://lekkenradar.nl/update-mozilla-firefox-158-oktober-2026/ (opent in een nieuw venster).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in het onderdeel Widget: Win32 van Firefox en Thunderbird. Door onjuiste grenscontroles kan een proces met beperkte rechten buiten de sandbox komen. Dat past bij CWE-119, onjuiste beperking van bewerkingen binnen de grenzen van een geheugenbuffer. De CVSS-vector (CVSS 3.1) wijst op een aanval via het netwerk met lage complexiteit, zonder vereiste rechten maar met gebruikersinteractie. De scope verandert, en de gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid zijn hoog. Mozilla heeft het opgelost in Firefox 158, Firefox ESR 153.5, Thunderbird 158 en Thunderbird 153.5.
CVSS-vector (versie 3.1, basisscore 9,6, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-119 · Onjuiste beperking van geheugenbewerkingen binnen de grenzen van een geheugenbuffer
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee