Mozilla veröffentlichte Firefox 158 am 13. Oktober und behob damit 77 einzeln offengelegte Sicherheitslücken. 30 davon sind als schwerwiegend eingestuft, 33 als mittelschwer und 14 als geringfügig.
Zu den schwerwiegenden Einträgen gehören Fehler in den Systemen, die den Code einer Webseite begrenzen sollen: Prozess-Sandboxing, Site-Isolation und Rechtekontrollen. Hinzu kommen Fehler bei der Speichersicherheit, die die JavaScript-Engine, den JIT-Compiler, den Grafikcode und weitere Browserkomponenten betreffen.
Mozilla hat außerdem geändert, wie das Unternehmen intern identifizierte Fehler bei der Speichersicherheit meldet. Statt sie zu einer einzigen CVE zusammenzufassen, veröffentlicht das Unternehmen nun laut Mozillas Sicherheitshinweis. Dadurch lässt sich die Zahl der offengelegten Sicherheitslücken schwerer direkt mit älteren Versionen vergleichen.
Firefox 158 enthält die im Sicherheitshinweis beschriebenen Fehlerbehebungen. Mozilla stuft keine der aufgeführten Sicherheitslücken als aktiv ausgenutzt ein, schließt eine nicht offengelegte Ausnutzung damit jedoch nicht aus.
Der Umfang des Sicherheitsupdates für Firefox 158
Die 77 Sicherheitslücken betreffen zahlreiche Browserkomponenten, darunter Netzwerkfunktionen, Prozess-Sandboxing, die JavaScript-Engine, Grafik, das DOM, Speicherfunktionen, die Absturzberichterstattung und Anwendungsupdates.
Mehrere der schwerwiegenden Sicherheitslücken betreffen Systeme, die potenziell schädliche Webinhalte eindämmen sollen. Andere wirken sich auf tiefer liegende Browserkomponenten aus, die für die Ausführung von JavaScript, die Verarbeitung von Dokumenten und das Rendern von Seiten zuständig sind.
Ein Eintrag ist CVE-2026-109704, eine schwerwiegende Sicherheitslücke zur Rechteausweitung in der Komponente für Anwendungsupdates. Sie steht nicht mit den Sandbox- und Speichersicherheitslücken in Zusammenhang, gehört aber zu derselben Gruppe von Sicherheitskorrekturen für Firefox 158.
Das Update umfasst außerdem Sicherheitslücken in WebExtensions und Unternehmensrichtlinien. Diese betreffen unterschiedliche Browsermechanismen und sollten nicht als Teil einer einzigen Exploit-Kette betrachtet werden.
Sandbox-Ausbrüche und Site-Isolation-Fehler in Firefox 158
In diesem Teil des Sicherheitshinweises tauchen drei Arten von Sicherheitslücken wiederholt auf.
Ein Sandbox-Ausbruch ermöglicht es Code, außerhalb der Beschränkungen seines zugewiesenen Prozesses zu agieren. Ein Site-Isolation-Fehler schwächt die Grenzen zwischen Webinhalten verschiedener Websites. Eine Rechteausweitung ermöglicht es einem Prozess oder einer Komponente, Aktionen außerhalb der vorgesehenen Berechtigungen auszuführen.
Diese Schwachstellen können sich überschneiden, beschreiben aber unterschiedliche Sicherheitsfehler.
CVE-2026-109705 vereint mehrere davon. Mozilla stuft die Sicherheitslücke in der Netzwerkkomponente als schwerwiegend ein und beschreibt einen Sandbox-Ausbruch, ein Problem bei der Site-Isolation, fehlerhafte Grenzbedingungen und eine Nutzung nach der Freigabe.
CVE-2026-109709, ebenfalls als schwerwiegend eingestuft, betrifft die Offenlegung von Informationen und eine Rechteausweitung in der Komponente „Security: Process Sandboxing“.
Zu den weiteren schwerwiegenden Sandbox-Ausbrüchen gehören CVE-2026-109707, eine Nutzung nach der Freigabe in der Netzwerkkomponente; CVE-2026-109708, ein Fehler bei den Grenzbedingungen in der Netzwerkkomponente; sowie CVE-2026-109712, bei dem es um nicht initialisierten Speicher in der Grafikkomponente geht.
Mehrere mittelschwere Sicherheitslücken betreffen ähnliche Schutzmechanismen:
- CVE-2026-109740: Sandbox-Ausbruch in Widget: Win32.
- CVE-2026-109745: Sandbox-Ausbruch durch nicht initialisierten Speicher in DOM: Web Serial.
- CVE-2026-109755: Sandbox-Ausbruch in DOM: Content Processes.
- CVE-2026-109757: Sandbox-Ausbruch aufgrund einer Race Condition in der Netzwerkkomponente.
- CVE-2026-109750 und CVE-2026-109759: Probleme bei der Site-Isolation in Web Authentication beziehungsweise der Netzwerkkomponente.
Das Update behebt außerdem mittelschwere Sicherheitslücken zur Rechteausweitung in WebExtensions, CVE-2026-109739, sowie in DOM: Navigation, CVE-2026-109756. Eine weitere Sicherheitslücke zur Rechteausweitung in WebExtensions, CVE-2026-109778, ist als geringfügig eingestuft.
Diese Einträge erstrecken sich über mehrere Sicherheitsgrenzen des Browsers und betreffen nicht nur eine isolierte Komponente. Organisationen, die Bedrohungen durch Browser in Unternehmensnetzwerken verwalten, sollten den Patch-Status von Firefox in ihre Endpoint-Bewertungen einbeziehen.
Fehler bei der Speichersicherheit und im JIT-Compiler von Firefox 158
Sicherheitslücken durch Nutzung nach der Freigabe treten auf, wenn Software weiter auf Speicher zugreift, nachdem dieser freigegeben wurde. Fehlerhafte Grenzbedingungen können Operationen außerhalb der vorgesehenen Grenzen ermöglichen.
Firefox 158 behebt zahlreiche schwerwiegende Sicherheitslücken im Zusammenhang mit diesen Problemen in DOM-Bindings, der SVG-Darstellung, der Audio- und Videowiedergabe, der Canvas-Grafik, dem Layout, XML und Streams.
Beispiele sind CVE-2026-109717 in DOM: Bindings, CVE-2026-109718 in XML, CVE-2026-109724 und CVE-2026-109725 in DOM: Core & HTML, CVE-2026-109726 in SVG, CVE-2026-109727 in Audio/Video sowie CVE-2026-109732 in DOM: Streams.
Mehrere schwerwiegende Fehler betreffen die JavaScript-Engine und ihre Komponenten für die Just-in-time-Kompilierung.
CVE-2026-109720 betrifft eine fehlerhafte JIT-Kompilierung in WebAssembly. CVE-2026-109722 und CVE-2026-109733 sind Sicherheitslücken durch fehlerhafte JIT-Kompilierung in der JavaScript-Engine. CVE-2026-109721 betrifft fehlerhafte Grenzbedingungen, während CVE-2026-109729 eine Nutzung nach der Freigabe in derselben JIT-Komponente ermöglicht.
Zu den mittelschweren Sicherheitslücken gehören Umgehungen von Schutzmaßnahmen in DOM: Security, CVE-2026-109734, und in Enterprise Policies, CVE-2026-109737.
Mozilla führt diese Probleme getrennt von den Sandbox-Sicherheitslücken auf. Der Sicherheitshinweis belegt nicht, dass Angreifer sie zu funktionierenden Exploit-Ketten kombiniert haben.
Was Administratoren jetzt tun sollten
Nutzer älterer Firefox-Versionen sollten auf Firefox 158 aktualisieren. Mozillas Anleitung zum Aktualisieren erklärt, wie sich die installierte Version über das Hilfe-Menü des Browsers prüfen und die neueste Version installieren lässt.
Administratoren in Unternehmen sollten bestätigen, dass die Updates auf verwalteten Endgeräten angekommen sind, einschließlich Geräten, die vor dem Wirksamwerden der Patches einen Neustart des Browsers benötigen.
Organisationen, die Firefox Extended Support Release nutzen, sollten ihre installierte ESR-Version anhand des jeweils geltenden Sicherheitshinweises von Mozilla prüfen, statt davon auszugehen, dass Firefox 158 das passende Update ist. Mozillas Dokumentation zu Unternehmensversionen nennt Firefox ESR 153.5 als entsprechende Version für den Oktober.
Zentrale Patch-Management-Tools können Administratoren dabei helfen, die Verteilung zu verfolgen und Geräte zu identifizieren, auf denen weiterhin verwundbare Versionen installiert sind.
Auch die Gesamtzahl von 77 CVEs muss in den richtigen Kontext eingeordnet werden. Mozillas neuer Ansatz bei der Offenlegung weist intern identifizierten Fehlern bei der Speichersicherheit separate CVEs zu, die zuvor möglicherweise zusammengefasst worden wären. Höhere gemeldete Zahlen bedeuten nicht automatisch, dass Firefox unsicherer geworden ist.
Für IT-Teams besteht die unmittelbare Priorität darin, das passende Sicherheitsupdate zu installieren und zu überprüfen, dass es auf allen verwalteten Geräten aktiv ist.
Auch lesenswert: Googles jüngstes Sicherheitsupdate für Chrome 155 hat 247 Sicherheitslücken behoben, darunter vier kritische Fehler.