Kerngegevens
- Leverancier
- Mozilla
- Product
- Thunderbird
- Soort software
- browser
- Getroffen versies
- Thunderbird ouder dan 158, en ouder dan 153.5 in de ESR-lijn
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Thunderbird 158 MFSA2026-109 (opent in een nieuw venster)
- Thunderbird 153.5 MFSA2026-109 (opent in een nieuw venster)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Thunderbird zit een lek bij het verwerken van berichten van een Exchange-server. Een kwaadwillende, gehackte of onderschepte server kan één correct opgebouwd SOAP-antwoord sturen met een element met zoveel attributen dat Thunderbird seconden tot uren bezig is met rekenen. Zolang dat duurt, reageert het programma niet meer.
Wie loopt risico?
Je loopt risico als je Thunderbird gebruikt met een Exchange-account. Dat geldt vooral als de server onder controle van een aanvaller staat of als iemand het verkeer tussen jou en de server kan onderscheppen en aanpassen. Heb je geen Exchange-account in Thunderbird, dan lijkt deze route voor jou niet van toepassing. In de gegevens staat geen actief misbruik van dit lek.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Thunderbird | 158 | MFSA2026-109 (opent in een nieuw venster) | |
| Thunderbird | 153.5 | MFSA2026-109 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je versie
Open in Thunderbird het menu Help en kies Over Thunderbird om te zien welke versie je hebt.
Werk Thunderbird bij
Installeer Thunderbird 158 of, als je op die lijn blijft, Thunderbird 153.5. In deze versies is het probleem opgelost.
Let op je Exchange-verbinding
Gebruik Exchange-accounts in Thunderbird alleen via vertrouwde netwerken en servers, zolang je nog niet bent bijgewerkt.
Lees het advies van Mozilla
Meer details staan in de beveiligingsadviezen mfsa2026-109 en mfsa2026-110 van Mozilla.
Dezelfde update lost meer lekken op
Thunderbird 158 lost ook een integeroverloop in libmime op (CVE-2026-110247, https://lekkenradar.nl/cve/cve-2026-110247/ (opent in een nieuw venster)). Alle lekken uit deze release staan in het overzicht: https://lekkenradar.nl/update-mozilla-firefox-158-oktober-2026/ (opent in een nieuw venster).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Een Exchange-server kan een goed gevormd SOAP-antwoord terugsturen met een element dat zeer veel attributen bevat. Het verwerken daarvan houdt de hoofdthread van Thunderbird gedurende seconden tot uren bezig met CPU-gebruik, waardoor de applicatie niet meer reageert. De fout is ingedeeld als ongecontroleerd verbruik van systeembronnen (CWE-400). De CVSS-vector (3.1) noemt een lokale aanvalsroute, lage complexiteit, geen benodigde rechten en gebruikersinteractie. De score van 8,6 is toegekend door de CNA. Het probleem is verholpen in Thunderbird 158 en Thunderbird 153.5.
CVSS-vector (versie 3.1, basisscore 8,6, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-400 · Ongecontroleerd verbruik van systeembronnen
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee