Mozilla выпустила Firefox 160 вместе с обновлениями Firefox ESR 115.45, Firefox ESR 153.7 и Thunderbird 160. Уведомление о безопасности 2026-125 описывает уязвимости в графическом стеке, сетевом коде, разборе HTML и CSS, а также в подсистемах работы с памятью. Часть записей позволяет выйти из песочницы браузера или поднять привилегии внутри процесса. Затронуты настольный Firefox, ветки с длительной поддержкой и почтовый клиент Thunderbird.
Память, границы и песочница
Песочница отделяет код страницы от системы. Специально собранная страница не должна дотянуться до файлов и процессов за её пределами. Выход из песочницы обычно складывают из нескольких ошибок, и Mozilla закрыла ряд таких цепочек. Одна из них получила идентификатор CVE-2026-124853 - неверные граничные условия в компоненте Graphics: Text. Оценка CISA-ADP для неё составила 9,6 по шкале CVSS. Исправление вошло в Firefox 160, Firefox ESR 115.45, Firefox ESR 153.7 и Thunderbird 160.
Отдельно стоит открытая в CanvasWebGL ошибка граничных условий, CVE-2026-124852. По оценке CISA-ADP её CVSS равен 8,8. Здесь Mozilla ограничилась Firefox 160 и Thunderbird 160, ветки ESR в записи не указаны. Другая запись, CVE-2026-124907, описывает уже повышение привилегий и выход из песочницы из-за использования памяти после освобождения в том же CanvasWebGL. Такой дефект означает, что программа обращается к участку памяти, который уже вернули системе. Для администратора важен итог: до обновления браузер держит вкладки в менее надёжной изоляции.
Большую часть списка занимают ошибки работы с памятью в разборе HTML и CSS, в макете страницы и в сборщике мусора JavaScript. Каждая по отдельности редко приводит к прямому захвату системы. Вместе они дают материал для цепочек, которые обходят защиту по частям. Поэтому обновление имеет смысл ставить целиком, а не выборочно по отдельным идентификаторам.
Обход правила одного источника
Правило одного источника не даёт скрипту с одной страницы читать данные другой. Две записи ломают именно его. CVE-2026-124874 в компоненте Networking: HTTP нашёл Minseong Kim, исправление вышло во всех четырёх ветках. Второй случай, CVE-2026-124902, связан с состоянием гонки в компоненте Audio/Video, автором указан dodoh4t. Состояние гонки означает, что результат зависит от порядка событий, и атакующий подбирает этот порядок.
Мягче выглядят записи об утечках сведений. CVE-2026-124909 относится к приватному просмотру, оценка CISA-ADP - 4,3 по CVSS. CVE-2026-124930 касается адресной строки. Обе позволяют узнать то, что не должно быть видно странице, но не дают выполнить код. Несколько записей с уровнем low описывают подмену интерфейса и обход уже существующих мер защиты - такие дефекты опасны прежде всего в сочетании с другими.
Условия атаки и что делать
Условия у большинства записей одинаковые. Атака идёт по сети, сложность низкая, учётные данные не нужны. При этом требуется участие пользователя: он должен открыть специально собранную страницу или файл. Без этого шага цепочка не запускается. Значит, ограничение исходящего трафика и запрет на произвольные вложения снижают риск, но не заменяют обновление.
Сведений об эксплуатации в реальных атаках в переданных данных нет. В записях CISA-ADP, которые сопровождают часть идентификаторов, указано Exploitation: none. Уязвимости получили статус PUBLISHED 10 ноября 2026 года, тогда же Mozilla объявила о выпуске.
Порядок действий простой. На настольных системах обновляют Firefox до 160, на ветках с длительной поддержкой - до 115.45 или 153.7. Почтовый клиент поднимают до Thunderbird 160. Проверить версии стоит и на машинах, где браузер стоит "для одного сайта": такие сборки часто обновляют вручную и забывают. После установки исправлений перезапуск обязателен, иначе старая копия процесса продолжит работать до выхода пользователя из системы.
Ссылки
