Sicurezza e privacy
Il 13 ottobre 2026 Mozilla ha pubblicato l’avviso di sicurezza MFSA 2026-106, che elenca le vulnerabilità corrette in Firefox 158. Secondo l’advisory ufficiale di Mozilla l’impatto complessivo è alto. Le voci vanno da CVE-2026-109704 a CVE-2026-109781, ma il numero CVE-2026-109758 non compare nell’elenco: le CVE presenti sono quindi 77, di cui 30 di gravità alta. Chi usa Firefox deve aggiornare alla 158.
Un avviso per ogni singolo bug
Secondo Mozilla, è cambiato il modo in cui vengono pubblicati gli advisory. Le vulnerabilità di sicurezza della memoria individuate internamente non vengono più raccolte in un’unica CVE: ogni bug riceve il suo avviso.
Ogni voce indica il componente interessato, il tipo di problema, la gravità, il segnalatore e il numero di bug. L’advisory non descrive come funzionano le falle e non parla di sfruttamento attivo.
| Gravità | Intervallo CVE | Voci |
|---|---|---|
| Alta | da CVE-2026-109704 a CVE-2026-109733 | 30 |
| Moderata | da CVE-2026-109734 a CVE-2026-109767 (senza la 109758) | 33 |
| Bassa | da CVE-2026-109768 a CVE-2026-109781 | 14 |
Le falle alte: sandbox e privilegi
Tra le vulnerabilità di gravità alta ci sono quattro fughe dalla sandbox:
- CVE-2026-109705, nel componente Networking, descritta come problema di site isolation dovuto a condizioni di limite errate e a un use-after-free;
- CVE-2026-109707, nel Networking, use-after-free;
- CVE-2026-109708, nel Networking, condizioni di limite errate;
- CVE-2026-109712, nel componente Graphics, per memoria non inizializzata.
Ci sono poi due escalation di privilegi. CVE-2026-109704 riguarda il componente Application Update ed è stata segnalata da Noel. CVE-2026-109709 è una divulgazione di informazioni con escalation di privilegi nel componente Security: Process Sandboxing, segnalata da Yaqoub Aldurayhim.
Use-after-free e motore JavaScript
Gran parte delle voci alte sono use-after-free. Toccano Storage: IndexedDB, Graphics: Text, Graphics: Canvas2D, Crash Reporting, XML, SVG e Audio/Video. Toccano anche diversi componenti del DOM (Bindings, Core & HTML, Animation, Streams) e Graphics: CanvasWebGL, quest’ultima descritta come race condition con use-after-free.
Il motore JavaScript e il compilatore JIT hanno più voci alte. CVE-2026-109715, -109716 e -109721 sono condizioni di limite errate. CVE-2026-109720 (WebAssembly), -109722 e -109733 sono miscompilazioni del JIT. CVE-2026-109729 è un use-after-free nel JIT, segnalato da Tomer Fichman. Ci sono anche integer overflow in Layout: Text and Fonts (CVE-2026-109723) e in Graphics (CVE-2026-109730).
Amy Burnett di OpenAI compare come segnalatrice di nove voci alte: CVE-2026-109715, -109716, -109720, -109721, -109722, -109723, -109728, -109731 e -109733. Molte altre sono segnalate da «Mozilla», cioè trovate internamente.
Le moderate e le basse
Le 33 voci moderate comprendono altre quattro fughe dalla sandbox:
- CVE-2026-109740, nel componente Widget: Win32;
- CVE-2026-109745, in DOM: Web Serial, per memoria non inizializzata;
- CVE-2026-109755, in DOM: Content Processes;
- CVE-2026-109757, nel Networking, per una race condition.
Le altre moderate sono bypass di mitigazioni (DOM: Security, Enterprise Policies, Networking: HTTP, File Handling), escalation di privilegi (WebExtensions, Panning and Zooming, DOM: Navigation), problemi di site isolation (Web Authentication, Networking) e divulgazioni di informazioni (PDF Viewer, Networking).
Le 14 voci basse includono denial-of-service in Site Reports, Sync, WebRTC e Printing: Output. Includono anche un bypass della same-origin policy in DevTools e divulgazioni di informazioni in Networking: Cache, WebRTC: Networking e Storage: IndexedDB.
Come aggiornare
Tutte le correzioni sono incluse in Firefox 158. Per essere protetti bisogna installare questa versione o una successiva.
