Mozilla Firefox und Thunderbird: JIT-Fehlkompilierung in JavaScript-Engine

Zusammenfassung

Eine JIT-Fehlkompilierung in der JavaScript-Engine von Mozilla Firefox und Thunderbird kann durch eine präparierte Webseite oder ein präpariertes Skript ausgelöst werden. Laut CVSS-Vektor kann ein nicht authentifizierter Angreifer, der einen Benutzer zu einer Interaktion bringt (etwa durch den Besuch einer manipulierten Website), die Vertraulichkeit und Integrität beeinträchtigen. Mozilla veröffentlicht keine detaillierten Exploit-Informationen, und der Fehlerbericht ist eingeschränkt.

Betroffen

• Firefox-Versionen vor 158, Firefox ESR 115.43 bis vor den 115.x-Korrekturen sowie Firefox ESR 153 vor 153.5 (gemäss CVE-Text des Herstellers)
• Thunderbird-Versionen vor 158 sowie Thunderbird 153 vor 153.5
• Linux-Distributionspakete können abweichen; Thunderbird unter Ubuntu 22.04 wird als verwundbar markiert
• Mobile Versionen: Unbekannt.

Behoben in

• Firefox 158
• Firefox ESR 115.43 und ESR 153.5
• Thunderbird 158 und Thunderbird 153.5
• Korrekturen bei Distributionen: AlmaLinux Thunderbird 153.5.0-1.el9_2.alma.1.tuxcare.els1; openSUSE firefox-esr 153.5.0-1.1

Umgehung

Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme; Update installieren.

Ausnutzung

• Bekanntermassen ausgenutzt (CISA KEV): In den geprüften Quellen keine Hinweise gefunden.
• Öffentlicher Proof of Concept: Keiner gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Firefox, Firefox ESR und Thunderbird auf allen Arbeitsstationen auf die neueste Version aktualisieren; zuerst die aus dem Internet erreichbaren Browser.
• Linux-Distributionspakete prüfen, insbesondere Thunderbird unter Ubuntu 22.04, da sie dem Upstream hinterherhinken können.
• Mozilla-Advisories und den CISA-KEV-Katalog auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Scyrix-LLC/CVE-2026-109722

Quellen der Recherche

• Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
• Mozilla Security Advisory MFSA 2026-107 (Firefox ESR 115.43) www.mozilla.org
• Mozilla Security Advisory MFSA 2026-109 www.mozilla.org
• Mozilla Security Advisory MFSA 2026-110 www.mozilla.org
• Ubuntu Security Notice CVE-2026-109722 ubuntu.com
• AlmaLinux OSV advisory CLSA-2026-1792779937 osv.dev
• SUSE CVE entry via Vulners vulners.com
• Mozilla bug 2074164 (restricted) bugzilla.mozilla.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:53.