Подготовленная веб-страница позволяет выйти за пределы песочницы Firefox, повысить свои права в системе и получить доступ к пользовательским файлам. Уязвимы Windows-сборки браузера до версии 158. Проблема касается и двух веток с длительным сроком поддержки, Firefox ESR 115.43 и ESR 153.5. Бюллетени Mozilla Foundation Security Advisory 2026-106, 2026-107 и 2026-108 вышли 13 октября 2026 года.
Память и песочница в бюллетенях Mozilla по Firefox
Общий список проблем измеряется десятками. Mozilla относит почти все из них к высокому уровню. Преобладают обращения к освобождённой памяти (use-after-free), ошибки граничных условий, целочисленные переполнения и сбои мгновенной компиляции JIT. Такая компиляция переводит код в машинные команды прямо во время работы браузера. Ошибки затрагивают почти все подсистемы: сетевой стек, графику, движок JavaScript, работу с документами и хранилища данных. Каждая проблема получила собственный идентификатор CVE. Раньше Mozilla сводила ошибки памяти в один общий номер. Теперь публикует их по отдельности, и бюллетени от этого заметно выросли.
Ключевая угроза связана с песочницей. Это механизм, который удерживает содержимое веб-страниц в стороне от системы. Среди проблем высокого уровня выделяются обход песочницы в сетевом компоненте (CVE-2026-109705) и повышение прав в модуле обновления браузера (CVE-2026-109704). Рядом идут ошибки в графической подсистеме, модуле работы с окнами Windows и компоненте изоляции процессов. Там раскрытие информации сочетается с ростом привилегий. Часть ошибок нашли внешние исследователи, включая специалистов OpenAI и независимых авторов. Чтобы сработала любая из этих проблем, достаточно заманить пользователя на страницу с подготовленным содержимым. Запускать файлы или устанавливать программы не требуется.
Песочница и изоляция сайтов
Обход песочницы в сетевом стеке устроен по-разному. Где-то помогает обращение к освобождённой памяти, где-то ошибка граничных условий, а одна из проблем опирается на состояние гонки. При состоянии гонки два процесса одновременно работают с одними данными, и результат становится непредсказуемым. Помимо этого, часть уязвимостей ломает изоляцию сайтов. Браузер перестаёт надёжно разделять содержимое разных доменов, а ошибка в модуле веб-аутентификации открывает путь к подмене источника страницы. Ещё одна группа ведёт к отказу в обслуживании и способна остановить работу браузера. В списке есть и обходы ограничений безопасности, из-за которых защитные механизмы перестают срабатывать. Mozilla отдельно отмечает подмену: некоторые ошибки позволяют выдать один элемент страницы за другой.
Различия между ветками ESR
Наборы исправлений в трёх ветках совпадают не полностью. Обычная Firefox 158 получила практически весь список. Ветка ESR 153.5 закрывает то же основное ядро проблем. В ESR 115.43 список заметно короче - почти два десятка ошибок. Среди них обход песочницы в графике и ошибки граничных условий в движке JavaScript. Для организаций, которые держат старые системы на ветке 115, это означает более узкий набор закрытых путей атаки.
Обновление до исправленных версий
Исправления доступны в Firefox 158, Firefox ESR 115.43 и Firefox ESR 153.5. Обновиться можно через встроенный механизм или вручную, скачав сборку с сайта Mozilla. Windows-сборки старше перечисленных версий остаются уязвимыми. Администраторам корпоративных парков стоит сверить действующие политики безопасности. Среди исправленных проблем есть обходы ограничений из корпоративных политик. Ослабленные настройки могут свести обновление на нет. Если установить свежую версию сразу нельзя, разумно ограничить открытие внешних ссылок и вложений.
Поток исправлений в Firefox остаётся плотным: десятки ошибок закрывают за один цикл. Значительная их часть приходится на песочницу и память, то есть на самые чувствительные механизмы браузера. Для парков на Windows с длительным сроком поддержки отставание от актуальной версии накапливает набор путей выхода за пределы защиты.
Ссылки
- https://www.mozilla.org/en-US/security/advisories/mfsa2026-106/
- https://www.mozilla.org/en-US/security/advisories/mfsa2026-107/
- https://www.mozilla.org/en-US/security/advisories/mfsa2026-108/
