Kerngegevens
- Leverancier
- Mozilla
- Producten
- Firefox onderdeel ESR alle ESR-lekken, Thunderbird
- Soort software
- browser
- Getroffen versies
- Firefox ouder dan 159
- Firefox ESR ouder dan 115.44 en ouder dan 153.6
- Thunderbird ouder dan 159 en ouder dan 153.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 159 MFSA2026-118 (opent in een nieuw venster)
- Firefox ESR 153.6 MFSA2026-120 (opent in een nieuw venster)
- Firefox ESR 115.44 MFSA2026-119 (opent in een nieuw venster)
- Thunderbird 159 MFSA2026-121 (opent in een nieuw venster)
- Thunderbird 153.6 MFSA2026-122 (opent in een nieuw venster)
- CVE gepubliceerd
- 27 oktober 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
Firefox en Thunderbird ouder dan 159 bevatten een fout in het onderdeel DOM: Networking waarmee de sandbox kan worden omzeild; Mozilla loste die op in versie 159 en in de ESR-versies 153.6 en 115.44 (Thunderbird 153.6). De sandbox is een afgeschermde omgeving die voorkomt dat schadelijke code bij de rest van je systeem kan. De ernst is kritiek (9,6).
Wie loopt risico?
Je loopt risico als je Firefox, Firefox ESR of Thunderbird gebruikt in een versie die nog niet is bijgewerkt. Volgens de beoordeling kan de aanval via het netwerk plaatsvinden en is er wel handelen van de gebruiker nodig. In de gegevens staat niet dat het lek actief wordt misbruikt.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 159 | MFSA2026-118 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Firefox ESR | 153.6 | MFSA2026-120 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Firefox ESR | 115.44 | MFSA2026-119 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 159 | MFSA2026-121 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 153.6 | MFSA2026-122 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk bij naar de opgeloste versie
Installeer de versie die bij jouw programma en versielijn hoort: Firefox 159, Firefox ESR 153.6 of 115.44, of Thunderbird 159 of 153.6. In het overzicht met updates op deze pagina staan per versielijn het advies van Mozilla en de downloadlink.
Controleer de versie
Open het menu Over Firefox of Over Thunderbird om te zien welke versie je hebt. Het programma zoekt daar ook naar updates.
Beheer je meerdere computers?
Zorg dat de nieuwe versies ook op werkplekken worden uitgerold, voor elke versielijn die je in gebruik hebt.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt tientallen lekken, waaronder CVE-2026-117866, CVE-2026-117867, CVE-2026-117869 en CVE-2026-117870. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een sandbox-ontsnapping in het onderdeel DOM: Networking van Firefox en Thunderbird. De fout is ingedeeld onder CWE-693, het falen van een beveiligingsmechanisme. De CVSS 3.1-vector (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) wijst op aanval via het netwerk, lage complexiteit, geen vereiste rechten, interactie van de gebruiker en een gewijzigde scope. De gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid worden als hoog beoordeeld. Mozilla heeft het lek verholpen in Firefox 159, Firefox ESR 115.44 en 153.6, en Thunderbird 159 en 153.6. Verdere technische details staan niet in de beschikbare gegevens.
CVSS-vector (versie 3.1, basisscore 9,6, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-693 · Falen van beveiligingsmechanisme
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee