Mozilla a publié Firefox 158 le 13 octobre, corrigeant 77 vulnérabilités de sécurité divulguées individuellement. Trente sont classées comme présentant un niveau de gravité élevé, 33 un niveau modéré et 14 un niveau faible.
Les entrées à gravité élevée comprennent des failles dans les systèmes censés confiner le code d’une page web : bac à sable des processus, isolation des sites et contrôles des privilèges. S’y ajoutent des problèmes de sûreté mémoire touchant le moteur JavaScript, le compilateur JIT, le code graphique et d’autres composants du navigateur.
Mozilla a également modifié sa façon de signaler les problèmes de sûreté mémoire identifiés en interne. Au lieu de les regrouper sous un seul CVE, l’entreprise publie désormais une entrée distincte pour chaque vulnérabilité, selon les avis de sécurité de Mozilla. Cela rend plus difficile la comparaison directe du nombre de vulnérabilités divulguées avec celui des versions précédentes.
Firefox 158 contient les correctifs décrits dans l’avis. Mozilla n’identifie aucune des vulnérabilités citées comme étant activement exploitée, même si cela n’exclut pas une exploitation non divulguée.
Périmètre de la mise à jour de sécurité de Firefox 158
Les 77 vulnérabilités touchent de nombreux composants du navigateur, notamment le réseau, le bac à sable des processus, le moteur JavaScript, les graphiques, le DOM, le stockage, le signalement des plantages et les mises à jour de l’application.
Plusieurs vulnérabilités à gravité élevée concernent des systèmes conçus pour contenir du contenu web potentiellement malveillant. D’autres touchent des composants de plus bas niveau du navigateur, chargés d’exécuter le JavaScript, de traiter les documents et d’afficher les pages.
L’une des entrées est CVE-2026-109704, une faille d’élévation de privilèges à gravité élevée dans le composant Application Update. Elle est distincte des vulnérabilités liées au bac à sable et à la sûreté mémoire, mais fait partie du même ensemble de correctifs de sécurité de Firefox 158.
La mise à jour corrige également des vulnérabilités dans WebExtensions et les politiques d’entreprise. Celles-ci touchent des mécanismes différents du navigateur et ne doivent pas être considérées comme une seule chaîne d’exploitation.
Sorties du bac à sable et failles d’isolation des sites dans Firefox 158
Trois types de vulnérabilités apparaissent régulièrement dans cette partie de l’avis.
Une sortie du bac à sable permet au code de fonctionner au-delà des restrictions de son processus attitré. Une faille d’isolation des sites affaiblit les frontières qui séparent les contenus web de sites différents. Une élévation de privilèges permet à un processus ou à un composant d’effectuer des actions dépassant les autorisations qui lui sont attribuées.
Ces faiblesses peuvent se recouper, mais elles désignent des défaillances de sécurité différentes.
CVE-2026-109705 en combine plusieurs. Mozilla classe la vulnérabilité Networking comme présentant une gravité élevée et décrit une sortie du bac à sable, un problème d’isolation des sites, des conditions de limites incorrectes et une utilisation après libération.
CVE-2026-109709, également à gravité élevée, concerne une divulgation d’informations et une élévation de privilèges dans le composant Security: Process Sandboxing.
Parmi les autres sorties du bac à sable à gravité élevée figurent CVE-2026-109707, une utilisation après libération dans Networking ; CVE-2026-109708, une faille liée à des conditions de limites incorrectes dans Networking ; et CVE-2026-109712, qui concerne de la mémoire non initialisée dans Graphics.
Plusieurs vulnérabilités à gravité modérée touchent des protections similaires :
- CVE-2026-109740 : sortie du bac à sable dans Widget: Win32.
- CVE-2026-109745 : sortie du bac à sable impliquant de la mémoire non initialisée dans DOM: Web Serial.
- CVE-2026-109755 : sortie du bac à sable dans DOM: Content Processes.
- CVE-2026-109757 : sortie du bac à sable due à une condition de concurrence dans Networking.
- CVE-2026-109750 et CVE-2026-109759 : problèmes d’isolation des sites dans Web Authentication et Networking, respectivement.
La mise à jour corrige également des vulnérabilités d’élévation de privilèges à gravité modérée dans WebExtensions, CVE-2026-109739, et dans DOM: Navigation, CVE-2026-109756. Une autre faille d’élévation de privilèges dans WebExtensions, CVE-2026-109778, est classée comme présentant une faible gravité.
Ces entrées couvrent plusieurs frontières de sécurité du navigateur plutôt qu’un seul composant isolé. Les organisations qui gèrent les menaces liées aux navigateurs sur les réseaux d’entreprise doivent intégrer l’état des correctifs de Firefox à leurs évaluations des terminaux.
Failles de sûreté mémoire et du JIT dans Firefox 158
Les vulnérabilités d’utilisation après libération surviennent lorsque le logiciel continue d’accéder à une zone mémoire après sa libération. Des conditions de limites incorrectes peuvent permettre des opérations dépassant les limites prévues.
Firefox 158 corrige de nombreuses vulnérabilités à gravité élevée liées à ces problèmes dans les liaisons DOM, le rendu SVG, la lecture audio et vidéo, les graphiques canvas, la mise en page, XML et les flux.
Parmi les exemples figurent CVE-2026-109717 dans DOM: Bindings, CVE-2026-109718 dans XML, CVE-2026-109724 et CVE-2026-109725 dans DOM: Core & HTML, CVE-2026-109726 dans SVG, CVE-2026-109727 dans Audio/Video et CVE-2026-109732 dans DOM: Streams.
Plusieurs failles à gravité élevée touchent le moteur JavaScript et ses composants de compilation à la volée.
CVE-2026-109720 concerne une mauvaise compilation par le JIT dans WebAssembly. CVE-2026-109722 et CVE-2026-109733 sont des vulnérabilités de mauvaise compilation par le JIT dans le moteur JavaScript. CVE-2026-109721 concerne des conditions de limites incorrectes, tandis que CVE-2026-109729 implique une utilisation après libération dans le même composant JIT.
Les vulnérabilités à gravité modérée comprennent des contournements de mesures d’atténuation dans DOM: Security, CVE-2026-109734, et dans Enterprise Policies, CVE-2026-109737.
Mozilla répertorie ces problèmes séparément des vulnérabilités du bac à sable. L’avis n’établit pas que des attaquants les ont combinés pour former des chaînes d’exploitation fonctionnelles.
Ce que les administrateurs doivent faire maintenant
Les utilisateurs d’anciennes versions de Firefox doivent passer à Firefox 158. Les instructions de mise à jour de Mozilla expliquent comment vérifier la version installée depuis le menu d’aide du navigateur et installer la dernière version.
Les administrateurs d’entreprise doivent vérifier que les mises à jour ont atteint les terminaux gérés, y compris les appareils qui nécessitent un redémarrage du navigateur avant l’application des correctifs.
Les organisations qui utilisent Firefox Extended Support Release doivent vérifier leur version ESR installée par rapport à l’avis applicable de Mozilla, plutôt que de supposer que Firefox 158 constitue la mise à jour appropriée. La documentation de publication pour les entreprises de Mozilla indique que Firefox ESR 153.5 correspond à la version d’octobre.
Les outils centralisés de gestion des correctifs peuvent aider les administrateurs à suivre le déploiement et à identifier les appareils qui utilisent encore des versions vulnérables.
Le total de 77 CVE doit également être remis dans son contexte. La nouvelle approche de Mozilla en matière de divulgation attribue des CVE distincts aux problèmes de sûreté mémoire identifiés en interne, qui auraient auparavant pu être regroupés. Un nombre plus élevé de vulnérabilités signalées ne signifie pas automatiquement que Firefox est devenu moins sûr.
Pour les équipes informatiques, la priorité immédiate est d’installer la mise à jour de sécurité applicable et de vérifier qu’elle est active sur tous les appareils gérés.
À lire aussi : la récente mise à jour de sécurité de Chrome 155 a corrigé 247 vulnérabilités, dont quatre failles critiques.