Mozilla экстренно закрывает опасную уязвимость в Firefox, связанную с обработкой видео

В сфере информационной безопасности оперативность реагирования зачастую является решающим фактором, отделяющим успешное отражение атаки от масштабного инцидента. Яркой иллюстрацией этого принципа стало экстренное обновление, выпущенное компанией Mozilla 16 февраля 2026 года для своего браузера Firefox. Патч устраняет критическую уязвимость в компоненте для обработки видео, которая могла бы позволить злоумышленникам получить контроль над системами пользователей. Данный случай затрагивает миллионы людей по всему миру и служит важным напоминанием о необходимости своевременного обновления программного обеспечения.

Детали уязвимости

Суть проблемы заключается в обнаруженной уязвимости типа «переполнение буфера в куче» (heap buffer overflow) в библиотеке libvpx. Эта библиотека является открытым кодеком, разработанным проектом WebM и используемым Firefox для декодирования популярных видеоформатов VP8 и VP9. Уязвимость, получившая идентификатор CVE-2026-2447, была обнаружена независимым исследователем безопасности под ником jayjayjazz. Переполнение буфера происходит, когда программа в процессе обработки видео записывает данные за пределы специально выделенного для этого фрагмента оперативной памяти (буфера). Такая ошибка может привести к аварийному завершению работы браузера или, что гораздо опаснее, к выполнению произвольного вредоносного кода, который злоумышленник может разместить в этом самом переполненном буфере.

Mozilla присвоила уязвимости высокий уровень опасности. Механизм эксплуатации предполагает классический сценарий атаки через веб-содержимое. Злоумышленник мог бы создать специально сконфигурированный веб-сайт или подготовить вредоносный видеофайл. При посещении такого сайта или открытии файла в уязвимой версии Firefox сработал бы эксплойт, использующий ошибку в libvpx. В результате атакующий потенциально получил бы возможность выполнить код на компьютере жертвы с правами текущего пользователя. Это открывает путь для самых разных деструктивных действий: от установки программ-вымогателей и шпионского ПО до кражи конфиденциальных данных и создания точки постоянного доступа в системе.

Риски усугубляются повсеместным распространением браузера на всех основных платформах - Windows, macOS и Linux. Кроме того, под удар попали не только обычные выпуски Firefox, но и версии с расширенной поддержкой (Extended Support Release, ESR), которые часто используются в корпоративной и государственной среде, где циклы обновлений могут быть более длительными. Уязвимыми являются все версии Firefox ниже 147.0.4, Firefox ESR ниже 140.7.1 и Firefox ESR ниже 115.32.1.

С технической точки зрения, уязвимости в мультимедийных библиотеках, особенно с открытым исходным кодом, представляют особую угрозу для экосистемы. Библиотека libvpx, будучи ключевым компонентом для воспроизведения веб-видео, интегрирована не только в Firefox, но и во множество других продуктов. Хотя текущий патч касается именно браузера Mozilla, подобные находки часто приводят к цепной реакции проверок и обновлений в других проектах, использующих ту же библиотеку. Это подчеркивает важность скоординированного раскрытия уязвимостей и ответственного подхода к управлению зависимостями в ПО.

Для пользователей и системных администраторов рекомендации однозначны и срочны. Необходимо немедленно убедиться, что браузер обновлен до актуальной версии. Обычно Firefox делает это автоматически в фоновом режиме, но проверить состояние можно, зайдя в меню «Справка» и выбрав пункт «О Firefox». Браузер самостоятельно проверит наличие обновлений и установит их. В корпоративных сетях, где развертывание контролируется ИТ-отделами, следует как можно быстрее начать процедуру тестирования и распространения патча для всех версий ESR. В качестве временной меры митигации, если немедленное обновление невозможно, можно рассмотреть возможность отключения обработки видео в браузере через сложные конфигурационные настройки, однако это крайне непрактично и нарушает базовую функциональность, поэтому является лишь паллиативом.

В свою очередь, данный инцидент демонстрирует эффективность модели ответственного раскрытия уязвимостей. Исследователь сообщил о проблеме разработчикам, после чего Mozilla оперативно подготовила и выпустила исправление, минимизируя «окно угрозы» для пользователей. Между тем, история напоминает, что даже в фундаментальных, широко используемых и проверенных временем открытых библиотеках могут скрываться критические изъяны. Регулярное обновление программного обеспечения остается самым простым и действенным способом защиты, закрывающим дверь перед злоумышленниками, которые охотятся за отстающими от жизненного цикла безопасности системами.

Детали уязвимости

Ссылки