Firefox a Thunderbird: dve kritické chyby v pamäti so skóre CVSS 9,8, aktualizu…

Čo sa stalo

Mozilla 27. októbra 2026 vydala bezpečnostné aktualizácie pre prehliadač Firefox a poštového klienta Thunderbird. Medzi desiatkami opravených chýb sú dve, ktoré databáza NVD vedie ako kritické: CVE-2026-117946 v javascriptovom jadre (časť prehliadača, ktorá spúšťa skripty na webových stránkach) a CVE-2026-117945 v súčasti, ktorá spracúva formát XML.

Obe chyby sú rovnakého druhu: program nesprávne stráži hranice pamäte, s ktorou pracuje. Opravené sú vo Firefoxe 159, vo Firefoxe ESR 153.6, v Thunderbirde 159 a v Thunderbirde 153.6. Chybu v javascriptovom jadre opravuje aj staršia podporovaná vetva Firefox ESR 115.44.

Mozilla zároveň zmenila spôsob zverejňovania. Každú pamäťovú chybu, ktorú nájde interne, dnes vydáva ako samostatné CVE, preto sú aktuálne bulletiny také dlhé. K 5. novembru 2026 nie je ani jedna z dvoch chýb v katalógu CISA KEV a európska databáza zraniteľností EUVD agentúry ENISA neuvádza, že by sa zneužívali. Ani Mozilla v bulletinoch zneužívanie nespomína.

Prečo je to nebezpečné

Chybu typu „nesprávne hranice pamäte“ (CWE-119) si predstavte ako skladníka, ktorý má do regálu uložiť desať škatúľ, ale nekontroluje, kde regál končí. Jedenástu škatuľu položí do susedného regálu a prepíše tam niečo cudzie. V programe to znamená, že dáta zo zle spracovanej webovej stránky môžu prepísať inú časť pamäte prehliadača. Chyby tohto druhu môžu v horšom prípade viesť až k spusteniu cudzieho kódu, Mozilla však konkrétne podmienky nezverejnila.

CVSS je stupnica od 0 do 10, ktorá vyjadruje závažnosť chyby. Obe chyby majú v databáze NVD skóre 9,8 podľa CVSS verzie 3.1, teda kritickú závažnosť. Toto hodnotenie nepridelila samotná NVD, ale iná organizácia. Mozilla svoje bulletiny celkovo označuje dopadom „high“, teda vysoký.

Podľa vektora CVSS útok prebieha cez sieť, útočník nepotrebuje prihlásenie ani žiadne oprávnenia a hodnotenie nepočíta s ďalšou akciou obete. Pri prehliadači to v praxi znamená, že rizikom je spracovanie škodlivého obsahu, napríklad webovej stránky. Hodnotenie predpokladá vysoký dopad na dôvernosť, integritu aj dostupnosť, čiže potenciálne únik aj zmenu dát a výpadok programu.

Pri Thunderbirde Mozilla upozorňuje, že mnohé z týchto chýb sa cez e-mail zneužiť nedajú, lebo pri čítaní pošty sú skripty vypnuté. Riziko však trvá všade, kde Thunderbird zobrazuje obsah podobne ako prehliadač.

EPSS je model, ktorý odhaduje pravdepodobnosť, že sa chyba začne zneužívať v najbližších tridsiatich dňoch. Pre obe chyby je k 5. novembru 2026 veľmi nízka, pod pol percenta. Katalóg CISA KEV je zoznam chýb, o ktorých americká agentúra CISA vie, že ich útočníci reálne zneužívajú, tieto dve v ňom nie sú. Aktualizáciu napriek tomu neodkladajte, prehliadač patrí vo firme k najviac vystaveným programom.

Koho sa to týka

Firefox starší ako 159
Firefox ESR starší ako 153.6
Firefox ESR starší ako 115.44 (len CVE-2026-117946, chybu v XML popis pri vetve 115 nespomína)
Thunderbird starší ako 159
Thunderbird starší ako 153.6

Týka sa to hlavne firemných počítačov a notebookov, na ktorých ľudia bežne prehliadajú web. Pozor si dajte aj na terminálové servery (napríklad Remote Desktop alebo Citrix), kde jeden Firefox používa viac ľudí naraz, a na linuxové servery s grafickým prostredím. Verzie ESR s dlhodobou podporou sú obľúbené v organizáciách, ktoré chcú stabilné prostredie, a tiež potrebujú aktualizáciu.

Mozilla ani NVD neuvádzajú ako dotknuté iné prehliadače. Ak máte Firefox alebo Thunderbird z balíčkov linuxovej distribúcie, sledujte bezpečnostné oznámenia vašej distribúcie, ktorá môže opravu dodať pod vlastným označením balíčka.

Ako zistiť, či ste zasiahnutí

Najjednoduchšie: vo Firefoxe otvorte menu, zvoľte Pomocník a potom O aplikácii Firefox. V Thunderbirde je to Pomocník a O aplikácii Thunderbird. Okno ukáže verziu a zároveň skontroluje aktualizácie. Vo Firefoxe nájdete podrobnosti aj po zadaní about:support do adresného riadka.

Na Linuxe zistíte verziu týmito príkazmi (len čítajú, nič nemenia). Na Ubuntu býva Firefox nainštalovaný ako balík snap, vtedy platí výstup príkazu snap list, nie dpkg:

firefox --version
thunderbird --version
dpkg -l 'firefox*' 'thunderbird*'
rpm -q firefox thunderbird
snap list firefox thunderbird

Vo Windows v PowerShelli:

(Get-Item "$env:ProgramFiles\Mozilla Firefox\firefox.exe").VersionInfo.ProductVersion
(Get-Item "$env:ProgramFiles\Mozilla Thunderbird\thunderbird.exe").VersionInfo.ProductVersion

Ak spravujete viac počítačov, pozrite sa do inventára softvéru vo vašom nástroji na správu (Intune, SCCM, RMM) a vyhľadajte všetky inštalácie Firefoxu a Thunderbirdu.

Ako to opraviť

Opravené verzie: Firefox 159, Firefox ESR 153.6, Firefox ESR 115.44, Thunderbird 159 a Thunderbird 153.6. Mozilla neuvádza žiadne dočasné riešenie, jedinou ochranou je aktualizácia.

Najprv aktualizujte Firefox na počítačoch, kde sa bežne prehliada web, a na terminálových serveroch. Tam je riziko najväčšie.
Bežný Firefox aktualizujte na verziu 159. Stačí otvoriť okno O aplikácii Firefox a reštartovať prehliadač.
Ak používate ESR, prejdite na 153.6 (vetva 153) alebo 115.44 (vetva 115). Pri vetve 115 Mozilla uvádza len opravu chyby v javascriptovom jadre, preto kde sa dá, uprednostnite vetvu 153. Pri centrálnej správe nasaďte nový inštalátor cez Intune, GPO alebo iný nástroj.
Potom aktualizujte Thunderbird na 159, prípadne 153.6 podľa toho, ktorú vetvu používate.
Na Linuxe nainštalujte bezpečnostné aktualizácie z repozitára distribúcie.
Overte, že prehliadače boli po aktualizácii naozaj reštartované. Kým beží stará inštancia, oprava sa neprejaví.

Skontrolujte, či automatické aktualizácie nie sú vypnuté firemnou politikou. Ak áno, nastavte si pravidelný proces, lebo Mozilla vydáva bezpečnostné opravy často.

Čo ak už ste mohli byť napadnutí

Mozilla ani iné zdroje zatiaľ nezverejnili žiadne indikátory napadnutia a zneužívanie nie je známe. Ak však máte dôvod na podozrenie, sústreďte sa na všeobecné znaky napadnutia prehliadača.

Upozornenia antivírusu alebo EDR, kde firefox.exe či thunderbird.exe spúšťa nečakané procesy, napríklad cmd.exe alebo powershell.exe.
Neznáme rozšírenia v about:addons a zmenená domovská stránka alebo vyhľadávač.
Nové naplánované úlohy, služby alebo položky automatického spúšťania, ktoré nikto nepridal.
Neznáme lokálne alebo doménové účty a nezvyčajné odchádzajúce spojenia z pracovných staníc.

Ak niečo z toho nájdete, počítač odpojte od siete, nemažte stopy a prizvite odborníka na bezpečnostné incidenty. Platí to najmä vtedy, ak išlo o terminálový server alebo počítač s prístupom k citlivým dátam.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

Firefox a Thunderbird: dve kritické chyby v pamäti so skóre CVSS 9,8, aktualizujte čo najskôr