В Firefox для iOS обнаружены уязвимости, позволяющие подменить элементы системного интерфейса. Одна из них даёт вредоносной странице возможность вписать произвольный текст в приглашение вызова FaceTime, которое показывает iOS, поэтому поддельная просьба появляется внутри системного окна, а не на самой странице. Другая позволяет открыть ссылку на телефонный звонок в окне, где показан другой сайт, и запрос выглядит так, будто звонок инициировал этот сайт. Затронуты версии Firefox для iOS, предшествующие 156.1.
Механика подмены в обработчиках tel и FaceTime
Приглашение вызова FaceTime показывает сама iOS, когда веб-страница просит открыть ссылку этого типа. Обработчик протокола - компонент, который передаёт такую ссылку системе, - принимал текст, подготовленный страницей, и система выводила его как собственное сообщение. Из-за этого вредоносный сайт подставлял в системное окно любую фразу, например просьбу перезвонить по номеру или ввести данные учётной записи. Такой приём называют фишингом: это выманивание сведений через поддельное сообщение, которое выглядит как официальное. Mozilla присвоила проблеме CVE-2026-116632 умеренный уровень воздействия; числовой оценки CVSS в бюллетене нет.
Вторая уязвимость, CVE-2026-116631, затрагивает обработчик ссылок tel, то есть переход по номеру телефона. Вредоносная страница открывала такую ссылку в окне, где отображался другой сайт, и запрос звонка появлялся поверх чужого адреса. Пользователь видел знакомый домен в адресной строке и считал, что звонок запросил именно этот сайт. Уровень воздействия Mozilla оценила как низкий. Атака идёт по сети: нужно, чтобы пользователь открыл вредоносную страницу и подтвердил переход; учётные данные не требуются, но участие пользователя обязательно.
Исправление вышло в Firefox для iOS 156.1. Обе записи CVE помечают эту версию как не подверженную уязвимости, то есть подтверждают устранение проблем. Обновление ставится из App Store обычным порядком, отдельных файлов для ручной установки Mozilla не публикует. После установки проверьте в настройках приложения, что указана версия 156.1 - более ранние сборки остаются уязвимыми.
Сведений об эксплуатации обеих проблем в реальных атаках в бюллетене mfsa2026-117 нет. Публикация уведомления означает, что технические детали стали доступны, но не подтверждает использование уязвимостей. Обходных мер Mozilla не приводит, поэтому единственное действие - обновление до 156.1 и отслеживание новых версий бюллетеня.
В уведомлении перечислена только сборка для iOS. Для других продуктов Mozilla статус не указан, поэтому по предварительным данным они не затронуты. Среди последствий названы нарушение целостности данных и обход политики безопасности. Администраторам стоит проверить, на каких устройствах установлен мобильный Firefox, и убедиться, что политика обновлений не блокирует установку новой версии.
Обе проблемы относятся к подмене интерфейса, а не к исполнению кода, и прямого доступа к данным не дают. Однако поддельное приглашение приходит из системного окна, где пользователь не ждёт обмана, и проверка адреса в этом случае не помогает. Поэтому обновление до 156.1 имеет смысл поставить на всех устройствах с Firefox для iOS.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-116631
- https://www.cve.org/CVERecord?id=CVE-2026-116632
- https://www.mozilla.org/en-US/security/advisories/mfsa2026-117/
