Firefox: kritické chyby umožňujú únik zo sandboxu, aktualizujte na verziu 160 a…

Čo sa stalo

Mozilla 10. novembra 2026 vydala bezpečnostné aktualizácie prehliadača Firefox. Opravuje v nich desiatky chýb a väčšinu z nich sama hodnotí ako závažné. Tento článok sa zameriava na štyri z nich: CVE-2026-124861, CVE-2026-124864, CVE-2026-124903 a CVE-2026-124917. Všetky sú typu use-after-free a podľa Mozilly môžu viesť k úniku zo sandboxu, teda z bezpečnostnej izolácie prehliadača.

CVE-2026-124861: zvukový a video modul (Audio/Video: cubeb)
CVE-2026-124864: Service Workers, teda skripty, ktoré webové stránky spúšťajú na pozadí
CVE-2026-124903: IPC, komunikácia medzi jednotlivými procesmi prehliadača
CVE-2026-124917: Widget: Gtk, časť, ktorá kreslí okná a ovládacie prvky v Linuxe

Najmenej tri z týchto chýb odhalili priamo vývojári Mozilly. Mozilla ani európska databáza zraniteľností EUVD agentúry ENISA neuvádzajú, že by ich útočníci už zneužívali, a nie sú ani v katalógu CISA KEV. Opravy sú vo verziách Firefox 160, Firefox ESR 115.45 a Firefox ESR 153.7.

Prečo je to nebezpečné

Use-after-free znamená „použitie po uvoľnení“. Program si v pamäti vyhradí miesto, potom ho vráti, ale omylom ho ešte raz použije. Predstavte si, že odovzdáte kľúč od hotelovej izby, no dvere vás stále pustia dnu, hoci tam už býva niekto iný. Útočník sa môže pokúsiť do uvoľneného miesta podstrčiť vlastné údaje a zmeniť tak správanie programu.

Sandbox je ohradené pieskovisko. Firefox spúšťa obsah webových stránok v obmedzených procesoch, ktoré nemajú priamy prístup k súborom ani k zvyšku systému. Únik zo sandboxu znamená, že kód zo stránky sa dostane za túto ohradu, k právam prihláseného používateľa. V praxi útočníci takúto chybu zvyčajne kombinujú s ďalšou chybou, ktorá im najprv umožní spustiť kód vo vnútri sandboxu.

Podľa vektora CVSS v databáze NVD útok ide cez sieť a útočník sa nemusí nikam prihlasovať. Potrebuje však, aby používateľ niečo urobil, napríklad otvoril podvodnú stránku alebo odkaz. Pri úspešnom útoku hrozí únik dát, ich zmena aj výpadok. Napadnutý počítač potom môže útočníkovi poslúžiť ako vstupná brána do firemnej siete.

CVSS je medzinárodná stupnica závažnosti na desaťbodovej škále. Všetky štyri chyby majú v NVD skóre 9,6 podľa CVSS 3.1, čo je kritická úroveň. Toto skóre nepridelila samotná NVD, ale iná organizácia, ktorú NVD vedie len pod interným identifikátorom. Mozilla vo svojich oznámeniach hodnotí dopad týchto chýb ako „high“, teda vysoký.

Katalóg CISA KEV je zoznam chýb, o ktorých americká agentúra CISA vie, že sa reálne zneužívajú. Tieto chyby v ňom zatiaľ nie sú. Skóre EPSS, ktoré odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch, pre ne zatiaľ zverejnené nie je.

Koho sa to týka

Týka sa to každého, kto používa Firefox na počítači, či už vo Windows, macOS alebo Linuxe. Zraniteľné sú tieto verzie:

Firefox pred verziou 160
Firefox ESR vetvy 115 pred verziou 115.45
Firefox ESR vetvy 153 pred verziou 153.7

Chybu CVE-2026-124917 v komponente Gtk Mozilla podľa popisu v NVD opravila vo Firefoxe 160 a ESR 153.7, pri vetve ESR 115 sa táto chyba neuvádza. Komponent Gtk sa používa najmä v linuxovej verzii Firefoxu.

ESR (Extended Support Release) je verzia s predĺženou podporou, ktorú často nasadzujú firmy, školy a úrady, lebo sa mení menej často. Typicky ide o firemné notebooky a stolové počítače, terminálové servery a virtuálne desktopy, na ktorých zamestnanci prehliadajú web a čítajú poštu. Oznámenia Mozilly uvádzajú ako dotknuté produkty len Firefox a Firefox ESR.

Ako zistiť, či ste zasiahnutí

Najjednoduchšie je otvoriť vo Firefoxe adresu about:support a pozrieť riadok Verzia. Ponuka Pomocník > O aplikácii Firefox ukáže verziu tiež, no zároveň spustí sťahovanie aktualizácie.

Na serveri alebo pri viacerých počítačoch zistíte verziu príkazmi, ktoré nič nemenia. Linux:

firefox --version
dpkg -l | grep -i firefox
rpm -qa | grep -i firefox
snap list firefox

Windows (PowerShell):

(Get-Item 'C:\Program Files\Mozilla Firefox\firefox.exe').VersionInfo.ProductVersion

macOS:

/Applications/Firefox.app/Contents/MacOS/firefox --version

Ak bežný Firefox ukáže verziu nižšiu ako 160, ESR 115 nižšiu ako 115.45 alebo ESR 153 nižšiu ako 153.7, počítač je zraniteľný. Vo firmách sa oplatí pozrieť aj do inventára softvéru v nástroji na správu zariadení, napríklad v Intune alebo SCCM.

Ako to opraviť

Mozilla vydala opravené verzie 10. novembra 2026:

Firefox 160
Firefox ESR 115.45
Firefox ESR 153.7

Postup aktualizácie:

Bežný počítač: otvorte Pomocník > O aplikácii Firefox, nechajte stiahnuť aktualizáciu a prehliadač reštartujte.
Linux: aktualizujte cez správcu balíkov svojej distribúcie (apt, dnf, snap). Ak opravený balík ešte nie je k dispozícii, sledujte bezpečnostné oznámenia distribúcie.
Firmy: nasaďte novú verziu cez centrálnu správu (GPO, Intune, SCCM alebo MDM) a overte, či vaše politiky nevypínajú automatické aktualizácie.
Po aktualizácii prehliadač vždy reštartujte. Kým beží stará inštancia, oprava sa neprejaví.
Nakoniec znova overte verziu postupom zo sekcie o kontrole.

Poradie: najprv počítače ľudí s prístupom k citlivým dátam a systémom (vedenie, účtovníctvo, správcovia IT), potom terminálové servery a zdieľané stanice, nakoniec ostatné zariadenia.

Mozilla neuvádza žiadne dočasné riešenie, jedinou ochranou je aktualizácia. Kým ju nenasadíte, upozornite používateľov, aby neotvárali odkazy z neznámych e-mailov a správ. Ak niekde nemôžete aktualizovať hneď, zvážte dočasné použitie iného, aktuálneho prehliadača.

Čo ak už ste mohli byť napadnutí

Mozilla ani iné zdroje nezverejnili indikátory kompromitácie a o zneužívaní týchto chýb sa zatiaľ nevie. Riziko je preto skôr do budúcnosti, no oplatí sa skontrolovať, či sa na počítačoch nedeje nič neobvyklé:

upozornenia antivírusu alebo EDR, najmä podozrivé procesy spustené z Firefoxu, napríklad príkazový riadok alebo PowerShell
neznáme rozšírenia vo Firefoxe (about:addons)
nové alebo neznáme používateľské účty a naplánované úlohy
nezvyčajné odchádzajúce spojenia z pracovných staníc v logoch firewallu alebo proxy
prihlásenia do e-mailu či cloudových služieb z neobvyklých miest

Ak nájdete niečo podozrivé, odpojte počítač od siete, ale nevypínajte ho, aby sa nestratili stopy v pamäti. Heslá používané na danom počítači zmeňte z iného, čistého zariadenia. Pri dôvodnom podozrení prizvite odborníka na riešenie incidentov, pretože útok cez prehliadač býva často len prvým krokom.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

Firefox: kritické chyby umožňujú únik zo sandboxu, aktualizujte na verziu 160 alebo najnovšiu ESR