Mozilla опубликовала уведомления 2026-119 и 2026-120 о безопасности Firefox ESR. Документы охватывают ветки 115 и 153, которые выходят с расширенной поддержкой: обновления безопасности для них выпускают дольше, чем для обычных релизов. Описанные ошибки касаются работы с памятью, проверки границ и изоляции сайтов. Часть из них позволяет выйти за пределы песочницы, обойти политику одного источника или повысить привилегии в системе.
Что меняется в Firefox ESR 115.44 и 153.6
Документы описывают ошибки работы с памятью. Среди них использование памяти после освобождения (use-after-free): программа обращается к участку, который уже вернула системе, и читает чужие данные либо исполняет их как код. Такая ошибка даёт атакующему чтение и запись в освобождённый участок, а через них подмену данных в памяти процесса. Ряд записей касается неверных граничных условий, то есть ошибок в проверках границ массивов и диапазонов, из-за которых обработчик выходит за пределы буфера и портит соседние данные. Такие ошибки встречаются в сетевом стеке, вёрстке, DOM, графике, аудио и видео, движке JavaScript и хранилище IndexedDB.
Несколько терминов нужно пояснить. DOM (объектная модель документа) означает представление страницы, с которым работает скрипт. IndexedDB означает встроенное хранилище данных браузера. WebRTC означает набор средств для аудио- и видеосвязи в реальном времени. Сетевой стек отвечает за загрузку страниц и обмен данными, а вёрстка за расположение элементов на экране.
Последствия различаются. Побег из песочницы означает выход из изолированной среды, в которой браузер выполняет код страницы. Обход изоляции сайтов позволяет одной странице добраться до данных другой. Нарушение политики одного источника даёт скрипту доступ к содержимому чужого сайта. Повышение привилегий выводит код страницы на уровень прав системы, а не браузера. В списках есть также раскрытие информации, подмена элементов интерфейса и обход защитных механизмов.
Например, CVE-2026-109705 объединяет побег из песочницы, нарушение изоляции сайтов и ошибку работы с памятью в сетевом компоненте. Другая запись, CVE-2026-117862, описывает повышение привилегий из-за неверных граничных условий в том же компоненте.
Числовой оценки CVSS в уведомлениях нет. Mozilla указала уровень High по своей классификации. Сведений об эксплуатации в реальных атаках документы не приводят: публикация уведомления означает раскрытие технических деталей, а не подтверждённое использование в атаках. Условия атаки вендор тоже не расписывает. Номера ошибок в уведомлениях указаны, подробности по каждой из них ищут в системе отслеживания ошибок Mozilla.
Отдельно вендор отметил смену подхода к публикации. Ошибки безопасности памяти больше не сводят в одну общую запись CVE, и для каждой ошибки выходит отдельное уведомление. Поэтому в документах каждая ошибка описана своей записью с собственным уровнем.
Исправления вышли 27 октября 2026 года в Firefox ESR 115.44 и Firefox ESR 153.6. Записи CVE указывают, что те же ошибки закрыты в Firefox 159, а также в Thunderbird 159 и 153.6. Обходных мер Mozilla не приводит. Это значит, что без обновления закрыть ошибки нечем: настроек или ограничений, которые заменят патч, в уведомлениях нет.
Администраторам нужно обновить браузер до 115.44 или 153.6 в зависимости от используемой ветки. После обновления проверяют, что в парке не осталось более ранних сборок ESR: они остаются уязвимы к странице, которая использует освобождённую память или обходит изоляцию сайтов. Thunderbird обновляют до 159 или 153.6 тем же порядком.
Общая картина одна: ошибки памяти в браузере затрагивают границы между страницей, браузером и системой. Поэтому обновление до указанных сборок остаётся основной мерой, а уведомления стоит держать под наблюдением до следующих выпусков.
Ссылки
- https://www.mozilla.org/en-US/security/advisories/mfsa2026-119/
- https://www.mozilla.org/en-US/security/advisories/mfsa2026-120/
