Криптографическая ошибка в компоненте, который хранит списки блокировки и разрешения, затрагивает Firefox для Android и Thunderbird. Списки блокировки перечисляют запрещённые объекты, списки разрешения - доверенные; браузер сверяется с ними при проверке загружаемых файлов и расширений. Сбой в криптографической части этого механизма делает такую проверку ненадёжной. Mozilla отнесла проблему к высокому уровню воздействия и закрыла её в ветках Firefox 158, ESR 153, ESR 115 и в Thunderbird.
CVE-2026-113470 в компоненте состояния Firefox и Thunderbird
Компонент состояния (state) хранит данные, которые браузер сохраняет между сессиями: списки блокировки, списки разрешения и служебные отметки о доверии к источникам. Криптографическая ошибка означает, что проверка подлинности этих данных работает неверно. Из-за этого нужный список может не примениться, и проверка теряет часть заложенных в неё ограничений. Mozilla не раскрывает, какие именно криптографические операции затронуты, поэтому точный сценарий атаки не описан. Уровень воздействия - High по классификации вендора.
Списки блокировки и разрешения - часть механизма доверия браузера. Через них отсекается нежелательное содержимое и ограничивается работа расширений. Если список подменён, браузер может доверять тому, чему доверять не должен. Криптографическая защита таких списков нужна, чтобы подмена обнаруживалась до применения правил.
Исправления вышли 21 октября 2026 года; запись CVE опубликована днём раньше и обновлена в день выпуска бюллетеня. Для Android предназначена сборка Firefox 158.0.2. На настольных платформах проблему закрывают Firefox 158.0.1, Firefox ESR 153.5.1 и Firefox ESR 115.43.1.
ESR (Extended Support Release) - ветка с длительной поддержкой, которая получает исправления безопасности без новых функций. Ветку 115 поддерживают дольше остальных, поэтому исправление для неё вышло отдельным номером. Thunderbird, почтовый клиент на той же платформе, получил исправление в версиях 158.0.1 и 153.5.1. В линейке Thunderbird сборка 158.0.1 соответствует обычному каналу, а 153.5.1 - ветке с длительной поддержкой.
Администраторам нужно сверить версии на рабочих местах и в почтовых клиентах. Автоматическое обновление в Firefox и Thunderbird включено по умолчанию, но в корпоративных сборках его часто отключают. Номер сборки виден в окне "О браузере" или "О Thunderbird". Если установлена версия ниже указанных, обновление ставят вручную. Для парка машин на ESR полезно заранее проверить совместимость надстроек. Тем, кто ставит Thunderbird из репозитория дистрибутива, обновление придёт позже, чем из официального канала Mozilla.
Отдельных сведений о похожих сбоях в этом компоненте бюллетень не приводит, поэтому сравнить проблему с прошлыми случаями нельзя. Оценка высокая, но без данных о реальных атаках и без описания сценария приоритет обновления определяет политика организации. Для парка на ESR обновление займёт больше времени из-за проверки надстроек. Проблема затрагивает сразу браузер и почтовый клиент, поэтому закрывать её нужно на обоих контурах.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-113470
- https://www.mozilla.org/en-US/security/advisories/mfsa2026-116/
