Firefox und Thunderbird: JIT-Fehlkompilierung in der JavaScript-Engine
Zusammenfassung
Mozilla Firefox, Firefox ESR und Thunderbird enthalten einen Fehler bei der JIT-Kompilierung (Just-in-Time) in der JavaScript-Engine. Ein entfernter Angreifer kann einen Benutzer mit einer manipulierten Webseite oder präparierten Inhalten dazu bringen, die Schwachstelle auszulösen, was die Vertraulichkeit und Integrität stark beeinträchtigen kann. Auf die Verfügbarkeit wirkt sich die Schwachstelle gemäss Bewertung nicht aus, und eine Benutzerinteraktion ist erforderlich.
Betroffen
- Firefox-Versionen vor 158
- Firefox ESR 115 vor 115.43
- Firefox ESR 153 vor 153.5
- Thunderbird-Versionen vor 158
- Thunderbird 153 vor 153.5
- Ubuntu markiert Thunderbird auf 22.04 LTS (jammy) als verwundbar; prüfen Sie den Tracker Ihrer Distribution
Behoben in
- Firefox 158
- Firefox ESR 115.43
- Firefox ESR 153.5
- Thunderbird 158
- Thunderbird 153.5
- Spätere Versionen sollen abgedeckt sein, dies wurde jedoch nicht bestätigt; verwenden Sie die neueste stabile Version
Umgehung
Keine Herstellerumgehung bekannt. Die Aktualisierung ist die erforderliche Massnahme.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn oder einen öffentlichen Proof of Concept gefunden.
- Nicht direkt im CISA-KEV-Katalog geprüft; bitte dort verifizieren.
Unsere Empfehlung
- Aktualisieren Sie Firefox, Firefox ESR und Thunderbird auf allen Endgeräten auf die neueste stabile Version.
- Prüfen Sie Thunderbird auf Ubuntu 22.04 und folgen Sie den Paketen Ihrer Linux-Distribution.
- Kontrollieren Sie die installierte Version auf jedem Endgerät und suchen Sie nach Installationen von ESR 115.
- Priorisieren Sie Browser-Flotten, bei denen automatische Updates deaktiviert sind.
- Überwachen Sie die Mozilla-Sicherheitshinweise und den CISA-KEV-Katalog auf Änderungen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla MFSA 2026-107 (Firefox ESR 115.43) www.mozilla.org
- Mozilla security advisories index www.mozilla.org
- Mozilla known vulnerabilities (Firefox) www.mozilla.org
- Ubuntu CVE page ubuntu.com
- OSV entry (Ubuntu) osv.dev
- Red Hat RHSA-2026:89757 via Vulners vulners.com
- SUSE CVE entry via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:51.
Referenzen der NVD (6)
- https://bugzilla.mozilla.org/show_bug.cgi?id=2076269
- https://www.mozilla.org/security/advisories/mfsa2026-106/
- https://www.mozilla.org/security/advisories/mfsa2026-107/
- https://www.mozilla.org/security/advisories/mfsa2026-108/
- https://www.mozilla.org/security/advisories/mfsa2026-109/
- https://www.mozilla.org/security/advisories/mfsa2026-110/
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.