Mozilla heeft op 27 oktober 2026 een grote beveiligingsupdate uitgebracht voor Firefox en Thunderbird. Het gaat om Firefox 159, Firefox ESR 153.6 en 115.44, en Thunderbird 159 en 153.6. Alleen al het advies voor Firefox ESR 153.6 telt 145 lekken: 95 met impact hoog, 44 middel en 6 laag. Mozilla zelf noemt geen enkel lek kritiek. Er is geen actief misbruik gemeld. Beide programma’s werken zichzelf meestal bij, maar de nieuwe versie is pas actief na een herstart.
Wat valt op?
- Nieuwe manier van publiceren. Mozilla bundelt intern gevonden geheugenfouten niet langer in één CVE, maar geeft elk lek een eigen nummer. Daardoor is de lijst veel langer dan je van Mozilla gewend bent. Dat betekent niet per se dat Firefox ineens veel onveiliger is.
- Vooral use-after-free. Het grootste deel van de lekken is een use-after-free: geheugen dat nog wordt gebruikt nadat het is vrijgegeven. Ze zitten verspreid over onder meer DOM: Core & HTML, Layout, de JavaScript-engine en Networking.
- Sandbox-ontsnappingen. Meerdere lekken laten een aanvaller mogelijk uit de sandbox ontsnappen, onder meer in DOM: Navigation, DOM: Networking en Form Manager. Zo’n lek wordt meestal gecombineerd met een tweede fout om echt controle over de computer te krijgen.
- Veel gevonden met AI-tools. Naast de lekken die Mozilla zelf vond, meldde OpenAI Codex Security tientallen lekken, en ook Amy Burnett van OpenAI meldde er meerdere.
- Thunderbird heeft eigen lekken. Naast de gedeelde browsercode lost Thunderbird lekken op in onder meer agenda’s, news:-links, antwoorden op berichten en Matrix-chat. Volgens Mozilla kunnen meerdere daarvan op Windows NTLM-inloggegevens naar een server van een aanvaller laten lekken.
- Scores lopen uiteen. Wij tellen 18 lekken als kritiek op basis van de CVSS-score in het CVE-record. Mozilla gebruikt een eigen indeling en noemt het zwaarste niveau in deze update “hoog”.
Wat betekent dit voor jou?
Thuis: controleer via Over Firefox en Over Thunderbird of je de nieuwste versie hebt, en start beide programma’s opnieuw op. Op het werk: rol de juiste versie uit voor de reeks die je volgt (gewoon of ESR) en geef Thunderbird op Windows-werkplekken voorrang vanwege de NTLM-lekken. Overweeg ook uitgaand SMB-verkeer (poort 445) naar internet te blokkeren.
- 145 lekken opgelost volgens Mozilla (advies Firefox ESR 153.6)
- 131 met een CVSS-score van 7,0 of hoger (tabel hieronder)
- 18 kritiek, 113 hoog (volgens de CVSS-score; Mozilla zelf noemt er 0 kritiek)
- Opgelost in: Firefox 159; Firefox ESR 153.6; Firefox ESR 115.44; Thunderbird 159; Thunderbird 153.6
Wat moet je doen?
Werk Firefox en Thunderbird bij
Installeer Firefox 159 of nieuwer. Volg je Firefox ESR, werk dan bij naar ESR 153.6, of naar ESR 115.44 als je op die oudere reeks zit. Voor Thunderbird kies je Thunderbird 159 of Thunderbird 153.6, afhankelijk van de reeks die je gebruikt.
Herstart en controleer de versie
Start Firefox of Thunderbird na de update opnieuw op, zodat de nieuwe versie actief is. Open daarna het menu Over Firefox of Over Thunderbird om te zien welke versie je draait.
Rol de update centraal uit op je werkplekken
Beheer je meerdere computers? Zorg dat de nieuwe versies ook via je softwarebeheer worden uitgerold en dat elke werkplek de juiste ESR-reeks krijgt. Controleer daarna steekproefsgewijs of de versies kloppen. Zie ook het advies van Mozilla (MFSA2026-118, MFSA2026-120 en MFSA2026-121).
Alle lekken in deze update
In deze tabel staan de lekken met een CVSS-score van 7,0 of hoger die LekkenRadar tot nu toe heeft verwerkt. Lekken met een eigen pagina zijn gelinkt; bij de andere verwijzen we naar de NVD.
| Product | CVE | Ernst | Wat is het |
|---|---|---|---|
| Firefox ESR 115 | CVE-2026-118027 | Kritiek 9,1 | Firefox ESR: frame poisoning in Layout |
| Firefox | CVE-2026-117862 | Kritiek 9,8 | Firefox: rechtenverhoging in Networking |
| Firefox | CVE-2026-117861 | Kritiek 9,6 | Sandbox escape in DOM: Navigation |
| Firefox | CVE-2026-117868 | Kritiek 9,6 | Firefox: sandbox-ontsnapping in DOM |
| Thunderbird | CVE-2026-118177 | Kritiek 9,1 | Thunderbird: onveilige agendalocatie |
| Firefox | CVE-2026-117864 | Hoog 8,8 | Sandbox escape in Form Manager |
| Firefox | CVE-2026-117869 | Hoog 8,8 | Firefox: use-after-free in DOM Core |
| Firefox | CVE-2026-117872 | Hoog 8,8 | Use-after-free in JavaScript Standard Library |
| Firefox | CVE-2026-118008 | Hoog 8,8 | Firefox: rechtenverhoging in Navigation |
| Thunderbird | CVE-2026-118179 | Hoog 8,8 | Thunderbird: lek in news:- en snews:-links |
| Firefox | CVE-2026-117860 | Hoog 8,1 | Same-origin policy bypass in DOM: Navigation |
| Firefox | CVE-2026-117873 | Hoog 8,1 | Onjuiste grenscontrole in Audio/Video-weergave |
| Thunderbird | CVE-2026-118176 | Hoog 8,1 | Thunderbird: NTLM-gegevens lekken via UNC |
| Thunderbird | CVE-2026-118175 | Hoog 7,5 | Thunderbird: lek van andere e-mailinhoud |
| Thunderbird | CVE-2026-118180 | Hoog 7,5 | Matrix-homeserveradres wordt niet gecontroleerd bij inloggen |
| Firefox | CVE-2026-117866 | Hoog 7,3 | Firefox: use-after-free in Canvas2D |
| Firefox | CVE-2026-117867 | Hoog 7,3 | Use-after-free in Layout |
| Firefox | CVE-2026-117870 | Hoog 7,3 | Use-after-free in JavaScript Engine |
| Firefox | CVE-2026-117871 | Hoog 7,3 | Invalid pointer in Graphics |
| Firefox | CVE-2026-117879 | Hoog 7,3 | Onjuiste grenscontrole in Layout: Tables |
| Firefox | CVE-2026-117922 | Hoog 8,8 | Use-after-free in Networking: WebSockets |
| Firefox | CVE-2026-117925 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117912 | Hoog 8,1 | Same-origin policy bypass in CSS-verwerking |
| Firefox | CVE-2026-117926 | Hoog 8,1 | Onjuiste grenscontrole in SVG |
| Firefox | CVE-2026-117889 | Hoog 7,3 | Onjuiste grenscontrole in JavaScript Engine |
| Firefox | CVE-2026-117890 | Hoog 7,3 | JIT-miscompilatie in JavaScript Engine |
| Firefox | CVE-2026-117891 | Hoog 7,3 | Use-after-free in JavaScript Engine: JIT |
| Firefox | CVE-2026-117892 | Hoog 7,3 | Rechtenverhoging via use-after-free in WebRTC: Networking |
| Firefox | CVE-2026-117897 | Hoog 7,3 | Onjuiste grenscontrole in Layout: Tables |
| Firefox | CVE-2026-117910 | Hoog 7,3 | Ongeldige pointer in JavaScript Engine |
| Firefox | CVE-2026-117915 | Hoog 7,3 | Onjuiste grenscontrole in Layout: Block and Inline |
| Firefox | CVE-2026-117881 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117883 | Hoog 8,8 | Use-after-free in DOM: HTML Parser |
| Firefox | CVE-2026-117884 | Hoog 8,8 | Use-after-free in Networking |
| Firefox | CVE-2026-117887 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117899 | Hoog 8,8 | Use-after-free in Networking: HTTP |
| Firefox | CVE-2026-117900 | Hoog 8,8 | Use-after-free in DOM: Editor |
| Firefox | CVE-2026-117901 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117904 | Hoog 8,8 | Use-after-free in JavaScript: GC |
| Firefox | CVE-2026-117936 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117940 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117886 | Hoog 8,1 | Onjuiste grenscontrole in Graphics: Text |
| Firefox | CVE-2026-117937 | Hoog 7,3 | Ongeldige pointer in JavaScript Engine |
| Firefox | CVE-2026-117917 | Kritiek 9,8 | Invalid pointer in Graphics: WebRender |
| Firefox | CVE-2026-117920 | Kritiek 9,6 | Use-after-free in DOM: HTML Parser |
| Firefox | CVE-2026-117918 | Hoog 8,8 | Use-after-free in Graphics: Canvas2D |
| Firefox | CVE-2026-117919 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117921 | Hoog 8,8 | Use-after-free in CSS-verwerking en berekening |
| Firefox | CVE-2026-117929 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117928 | Hoog 8,1 | Omzeiling van same-origin policy in CSS-verwerking |
| Firefox | CVE-2026-117930 | Hoog 8,8 | Use-after-free in DOM: Bindings (WebIDL) |
| Firefox | CVE-2026-117931 | Hoog 8,8 | Use-after-free in DOM: Events |
| Firefox | CVE-2026-117932 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117945 | Kritiek 9,8 | Onjuiste grenscontrole in XML |
| Firefox | CVE-2026-117946 | Kritiek 9,8 | Onjuiste grenscontrole in JavaScript-engine |
| Firefox | CVE-2026-117941 | Hoog 8,8 | Use-after-free in DOM: CSS Object Model |
| Firefox | CVE-2026-117943 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117949 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117950 | Hoog 8,8 | Onjuiste grenscontrole in DOM: Core & HTML |
| Firefox | CVE-2026-117951 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117953 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117952 | Hoog 8,1 | Niet-geïnitialiseerd geheugen in Networking |
| Firefox | CVE-2026-117957 | Hoog 8,1 | Cryptografisch probleem in WebRTC: Networking |
| Firefox | CVE-2026-117958 | Hoog 8,1 | Site-isolatieprobleem in Networking: HTTP |
| Firefox | CVE-2026-117959 | Hoog 8,1 | Site-isolatieprobleem in DOM: Service Workers |
| Firefox | CVE-2026-117942 | Hoog 7,3 | Onjuiste grenscontrole in JavaScript Engine: JIT |
| Firefox | CVE-2026-117980 | Kritiek 9,8 | Use-after-free in Graphics |
| Firefox | CVE-2026-117981 | Kritiek 9,8 | Rechtenverhoging in Toolkit |
| Firefox | CVE-2026-117982 | Kritiek 9,8 | Invalid pointer in JavaScript-engine (JIT) |
| Firefox | CVE-2026-117962 | Kritiek 9,6 | Sandbox-ontsnapping door onjuiste grenscontrole in Quota Manager |
| Firefox | CVE-2026-117971 | Kritiek 9,6 | Sandbox-ontsnapping via use-after-free in Print Preview |
| Firefox | CVE-2026-117954 | Hoog 8,8 | Use-after-free in Layout: Positioned |
| Firefox | CVE-2026-117956 | Hoog 8,8 | Invalid pointer in Nimbus Desktop Client |
| Firefox | CVE-2026-117964 | Hoog 8,8 | Use-after-free in Panning and Zooming |
| Firefox | CVE-2026-117967 | Hoog 8,8 | Omzeiling van beveiligingsmaatregel in DOM: Security |
| Firefox | CVE-2026-117968 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-117969 | Hoog 8,8 | Invalid pointer in JavaScript-engine (JIT) |
| Firefox | CVE-2026-117979 | Hoog 8,8 | Onjuiste grenscontrole in WebRender |
| Firefox | CVE-2026-117983 | Hoog 8,8 | Use-after-free in Graphics |
| Firefox | CVE-2026-117955 | Hoog 8,1 | JIT-miscompilatie in JavaScript: WebAssembly |
| Firefox | CVE-2026-117961 | Hoog 8,1 | Onjuiste grenscontrole in Layout: Text and Fonts |
| Firefox | CVE-2026-117963 | Hoog 8,1 | Onjuiste grenscontrole in DOM: Service Workers |
| Firefox | CVE-2026-117965 | Hoog 8,1 | Omzeiling van same-origin policy in adresbalk |
| Firefox | CVE-2026-117966 | Hoog 8,1 | Site isolation-lek in Networking: HTTP |
| Firefox | CVE-2026-117976 | Hoog 8,1 | Site isolation-lek in DOM: Navigation |
| Firefox | CVE-2026-117977 | Hoog 8,1 | Overig lek in Console |
| Firefox | CVE-2026-117978 | Hoog 8,1 | Onjuiste grenscontrole in Graphics |
| Firefox | CVE-2026-117985 | Kritiek 9,6 | Sandbox-ontsnapping via use-after-free in Graphics |
| Firefox | CVE-2026-117988 | Kritiek 9,6 | Sandbox-ontsnapping door onjuiste grenscontrole in CanvasWebGL |
| Firefox | CVE-2026-117990 | Kritiek 9,6 | Sandbox-ontsnapping door onjuiste grenscontrole in WebRender |
| Firefox | CVE-2026-117997 | Kritiek 9,6 | Sandbox-ontsnapping via use-after-free in Widget |
| Firefox | CVE-2026-117970 | Hoog 8,8 | Race condition in Disability Access APIs |
| Firefox | CVE-2026-117972 | Hoog 8,8 | Use-after-free in Graphics |
| Firefox | CVE-2026-117973 | Hoog 8,8 | Use-after-free in Networking: DNS |
| Firefox | CVE-2026-117974 | Hoog 8,8 | Use-after-free in XML |
| Firefox | CVE-2026-117975 | Hoog 8,8 | Sandbox-ontsnapping via invalid pointer in WebRender |
| Firefox | CVE-2026-117984 | Hoog 8,8 | Onjuiste grenscontrole in Layout: Scrolling and Overflow |
| Firefox | CVE-2026-117986 | Hoog 8,8 | Use-after-free in Graphics |
| Firefox | CVE-2026-117987 | Hoog 8,8 | Use-after-free in Graphics |
| Firefox | CVE-2026-117989 | Hoog 8,8 | Use-after-free in Graphics |
| Firefox | CVE-2026-117991 | Hoog 8,8 | Onjuiste grenscontrole in Layout: Text and Fonts |
| Firefox | CVE-2026-117993 | Hoog 8,8 | Integer overflow in Graphics: Text |
| Firefox | CVE-2026-117994 | Hoog 8,8 | Use-after-free in JavaScript: GC |
| Firefox | CVE-2026-117995 | Hoog 8,8 | Rechtenverhoging in DOM: UI Events & Focus Handling |
| Firefox | CVE-2026-117998 | Hoog 8,8 | Omzeiling van beveiligingsmaatregel in DOM: Push Subscriptions |
| Firefox | CVE-2026-117999 | Hoog 8,8 | Race condition in IPC |
| Firefox | CVE-2026-118005 | Hoog 8,8 | Use-after-free in WebRTC: Signaling |
| Firefox | CVE-2026-118006 | Hoog 8,8 | Rechtenverhoging via use-after-free in WebRTC: Signaling |
| Firefox | CVE-2026-118007 | Hoog 8,8 | Use-after-free in JavaScript: GC |
| Firefox | CVE-2026-118009 | Hoog 8,8 | Integer overflow en use-after-free in Graphics: Text |
| Firefox | CVE-2026-118010 | Hoog 8,8 | Use-after-free in Disability Access APIs |
| Firefox | CVE-2026-118011 | Hoog 8,8 | Frame poisoning in CSS-verwerking |
| Firefox | CVE-2026-118012 | Hoog 8,8 | Use-after-free in DOM: Animation |
| Firefox | CVE-2026-118013 | Hoog 8,8 | Use-after-free in Layout: Images, Video, and HTML Frames |
| Firefox | CVE-2026-118014 | Hoog 8,8 | Use-after-free in JavaScript-engine (JIT) |
| Firefox | CVE-2026-118015 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-118016 | Hoog 8,8 | Use-after-free in DOM: Core & HTML |
| Firefox | CVE-2026-118017 | Hoog 8,8 | Use-after-free in SVG |
| Firefox | CVE-2026-118019 | Hoog 8,8 | Race condition en use-after-free in DOM: File |
| Firefox | CVE-2026-118020 | Hoog 8,8 | Use-after-free in Layout |
| Firefox | CVE-2026-118021 | Hoog 8,8 | Sandbox-ontsnapping via use-after-free in XPCOM |
| Firefox | CVE-2026-118022 | Hoog 8,8 | Sandbox-ontsnapping via use-after-free in Disability Access APIs |
| Firefox | CVE-2026-118023 | Hoog 8,8 | Sandbox-ontsnapping via use-after-free in WebRender |
| Firefox | CVE-2026-118024 | Hoog 8,8 | Use-after-free in Graphics: Text |
| Firefox | CVE-2026-118025 | Hoog 8,8 | Overig lek in SVG |
| Firefox | CVE-2026-118026 | Hoog 8,8 | Invalid pointer in JavaScript: GC |
| Firefox | CVE-2026-117996 | Hoog 8,1 | Onjuiste grenscontrole in WebRTC |
| Firefox | CVE-2026-118000 | Hoog 8,1 | Informatielek in Networking: HTTP |
| Firefox | CVE-2026-118002 | Hoog 8,1 | Informatielek via race condition in Networking |
| Firefox | CVE-2026-118003 | Hoog 8,1 | Informatielek in Networking: DNS |
| Firefox | CVE-2026-118004 | Hoog 8,1 | Onjuiste grenscontrole in CSS Transitions and Animations |