Mozilla выпустила обновление браузера Firefox для iOS. Оно устраняет уязвимости, часть которых позволяет повысить привилегии на устройстве. Одна из них работает в компоненте Reader View - режиме чтения, который убирает со страницы оформление и оставляет текст. Затронуты iPhone и iPad, где браузер не обновляли до выхода исправления.
Что вошло в уведомление 2026-124
Уведомление о безопасности 2026-124 Mozilla опубликовала 9 ноября 2026 года. Уровень опасности в нём - высокий. Исправление вышло в Firefox for iOS 160, обходных мер фонд не предложил. Речь идёт только о мобильном клиенте для iOS.
Reader View и вторая уязвимость
CVE-2026-121842 описывает повышение привилегий в компоненте Reader View. Уязвимость нашёл исследователь под ником navapon, в уведомлении стоит ссылка на запись в трекере Bug 2076233. CVE-2026-121843 - тот же класс повышения привилегий, но без привязки к конкретному компоненту. Его сообщил Hoang Quan, ссылка ведёт на Bug 2083030.
Обе записи получили 8.8 из 10 по шкале CVSS 3.1. Оценку подготовила CISA по программе ADP, а не сама Mozilla. Атака идёт по сети, сложность низкая, учётные данные не нужны. Однако без действия пользователя она не срабатывает.
Последствия затрагивают конфиденциальность, целостность и доступность - все три параметра CISA оценила как высокие. Механизм обхода Mozilla не раскрывает. В уведомлении есть только класс уязвимости и номер записи в трекере. Поэтому защиту приходится строить от общего сценария: подготовленная страница плюс переход на неё.
Условия атаки стоит проговорить отдельно. Злоумышленнику нужен сетевой доступ к устройству и переход человека по ссылке. Специальных прав в системе не требуется. Барьер входа низкий, а роль пользователя в цепочке - решающая.
Запись без подробностей
Третья запись - CVE-2026-121841 - названа в уведомлении "Other issue in Firefox for iOS". Mozilla оценила её как умеренную. Авторами указаны Hoang Quan и tu3n.4nh, ссылка ведёт на Bug 2081874. Ни класс уязвимости, ни затронутый компонент уведомление не раскрывает. Ориентироваться стоит на записи с высоким уровнем опасности.
Что делать администратору
Мера одна - обновить Firefox для iOS до 160.0. Mozilla не приводит обходных способов, поэтому отложить установку не выйдет. В организации раздачу удобно вести через MDM, систему управления мобильными устройствами. Она ставит версию на парк телефонов и планшетов без участия сотрудников. Владельцев личных устройств остаётся попросить обновиться через App Store.
Сведений об эксплуатации в реальных атаках нет. CISA в блоке SSVC отметила, что признаков использования не зафиксировано и автоматизировать атаку нельзя. Это не отменяет обновления, зато даёт время спланировать раздачу. Повышение привилегий опасно тем, что приложение выходит за рамки песочницы - изоляции, которая держит его внутри собственных данных. Пока песочница цела, рискуют вкладки; после обхода под угрозой всё, что лежит рядом.
Версию для iOS Mozilla сопровождает отдельно от сборок для настольных систем. Поэтому бюллетень 2026-124 касается только мобильного клиента. Установка обновлений на компьютеры и на Android к этому выпуску отношения не имеет. Проверить парк стоит через отчёт MDM по версиям приложения.
Ссылки
