Bezpečnostní hrozby · 10. listopadu 2026

Firefox: kritické chyby umožňují únik ze sandboxu, aktualizujte na verzi 160 nebo nejnovější ESR

Mozilla 10. listopadu 2026 opravila ve Firefoxu chyby, které mohou útočníkovi pomoci dostat se z izolovaného prostoru prohlížeče. Útok probíhá přes internet bez přihlášení, ale vyžaduje akci uživatele. Zneužívání zatím nikdo nehlásí. Aktualizujte na Firefox 160, ESR 115.45 nebo ESR 153.7.

Co se stalo

Mozilla 10. listopadu 2026 vydala bezpečnostní aktualizace prohlížeče Firefox. Opravuje v nich desítky chyb a většinu z nich sama hodnotí jako závažné. Tento článek se zaměřuje na čtyři z nich: CVE-2026-124861, CVE-2026-124864, CVE-2026-124903 a CVE-2026-124917. Všechny jsou typu use-after-free a podle Mozilly mohou vést k úniku ze sandboxu, tedy z bezpečnostní izolace prohlížeče.

  • CVE-2026-124861: zvukový a video modul (Audio/Video: cubeb)
  • CVE-2026-124864: Service Workers, tedy skripty, které webové stránky spouštějí na pozadí
  • CVE-2026-124903: IPC, komunikace mezi jednotlivými procesy prohlížeče
  • CVE-2026-124917: Widget: Gtk, část, která vykresluje okna a ovládací prvky v Linuxu

Nejméně tři z těchto chyb odhalili přímo vývojáři Mozilly. Mozilla ani evropská databáze zranitelností EUVD agentury ENISA neuvádějí, že by je útočníci už zneužívali, a nejsou ani v katalogu CISA KEV. Opravy jsou ve verzích Firefox 160, Firefox ESR 115.45 a Firefox ESR 153.7.

Proč je to nebezpečné

Use-after-free znamená „použití po uvolnění“. Program si v paměti vyhradí místo, pak ho vrátí, ale omylem ho použije ještě jednou. Představte si, že odevzdáte klíč od hotelového pokoje, ale dveře vás pořád pustí dovnitř, i když tam už bydlí někdo jiný. Útočník se může pokusit do uvolněného místa podstrčit vlastní data a změnit tak chování programu.

Sandbox je ohraničené pískoviště. Firefox spouští obsah webových stránek v omezených procesech, které nemají přímý přístup k souborům ani ke zbytku systému. Únik ze sandboxu znamená, že se kód ze stránky dostane za tuto ohradu, k oprávněním přihlášeného uživatele. V praxi útočníci takovou chybu obvykle kombinují s další chybou, která jim nejprve umožní spustit kód uvnitř sandboxu.

Podle vektoru CVSS v databázi NVD útok probíhá přes síť a útočník se nemusí nikam přihlašovat. Potřebuje ale, aby uživatel něco udělal, například otevřel podvodnou stránku nebo odkaz. Při úspěšném útoku hrozí únik dat, jejich změna i výpadek. Napadený počítač pak může útočníkovi posloužit jako vstupní brána do firemní sítě.

CVSS je mezinárodní stupnice závažnosti na desetibodové škále. Všechny čtyři chyby mají v NVD skóre 9,6 podle CVSS 3.1, což je kritická úroveň. Toto skóre nepřidělila samotná NVD, ale jiná organizace, kterou NVD vede jen pod interním identifikátorem. Mozilla ve svých oznámeních hodnotí dopad těchto chyb jako „high“, tedy vysoký.

Katalog CISA KEV je seznam chyb, o kterých americká agentura CISA ví, že se reálně zneužívají. Tyto chyby v něm zatím nejsou. Skóre EPSS, které odhaduje pravděpodobnost zneužití v nejbližších 30 dnech, pro ně zatím zveřejněno není.

Koho se to týká

Týká se to každého, kdo používá Firefox na počítači, ať už ve Windows, macOS nebo Linuxu. Zranitelné jsou tyto verze:

  • Firefox před verzí 160
  • Firefox ESR větve 115 před verzí 115.45
  • Firefox ESR větve 153 před verzí 153.7

Chybu CVE-2026-124917 v komponentě Gtk Mozilla podle popisu v NVD opravila ve Firefoxu 160 a ESR 153.7, u větve ESR 115 se tato chyba neuvádí. Komponenta Gtk se používá hlavně v linuxové verzi Firefoxu.

ESR (Extended Support Release) je verze s prodlouženou podporou, kterou často nasazují firmy, školy a úřady, protože se mění méně často. Typicky jde o firemní notebooky a stolní počítače, terminálové servery a virtuální desktopy, na kterých zaměstnanci prohlížejí web a čtou poštu. Oznámení Mozilly uvádějí jako dotčené produkty pouze Firefox a Firefox ESR.

Jak zjistit, zda jste zasaženi

Nejjednodušší je otevřít ve Firefoxu adresu about:support a podívat se na řádek Verze. Nabídka Nápověda > O aplikaci Firefox zobrazí verzi také, ale zároveň spustí stahování aktualizace.

Na serveru nebo u více počítačů zjistíte verzi příkazy, které nic nemění. Linux:

firefox --version
dpkg -l | grep -i firefox
rpm -qa | grep -i firefox
snap list firefox

Windows (PowerShell):

(Get-Item 'C:\Program Files\Mozilla Firefox\firefox.exe').VersionInfo.ProductVersion

macOS:

/Applications/Firefox.app/Contents/MacOS/firefox --version

Pokud běžný Firefox ukáže verzi nižší než 160, ESR 115 nižší než 115.45 nebo ESR 153 nižší než 153.7, je počítač zranitelný. Ve firmách se vyplatí podívat se i do inventáře softwaru v nástroji pro správu zařízení, například v Intune nebo SCCM.

Jak to opravit

Mozilla vydala opravené verze 10. listopadu 2026:

  • Firefox 160
  • Firefox ESR 115.45
  • Firefox ESR 153.7

Postup aktualizace:

  • Běžný počítač: otevřete Nápověda > O aplikaci Firefox, nechte stáhnout aktualizaci a prohlížeč restartujte.
  • Linux: aktualizujte přes správce balíčků své distribuce (apt, dnf, snap). Pokud opravený balíček ještě není k dispozici, sledujte bezpečnostní oznámení distribuce.
  • Firmy: nasaďte novou verzi přes centrální správu (GPO, Intune, SCCM nebo MDM) a ověřte, zda vaše politiky nevypínají automatické aktualizace.
  • Po aktualizaci prohlížeč vždy restartujte. Dokud běží stará instance, oprava se neprojeví.
  • Nakonec znovu ověřte verzi postupem ze sekce o kontrole.

Pořadí: nejdřív počítače lidí s přístupem k citlivým datům a systémům (vedení, účetnictví, správci IT), potom terminálové servery a sdílené stanice, nakonec ostatní zařízení.

Mozilla neuvádí žádné dočasné řešení, jedinou ochranou je aktualizace. Dokud ji nenasadíte, upozorněte uživatele, aby neotevírali odkazy z neznámých e-mailů a zpráv. Pokud někde nemůžete aktualizovat hned, zvažte dočasné použití jiného, aktuálního prohlížeče.

Co když už jste mohli být napadeni

Mozilla ani jiné zdroje nezveřejnily indikátory kompromitace a o zneužívání těchto chyb se zatím neví. Riziko je proto spíše do budoucna, ale vyplatí se zkontrolovat, zda se na počítačích neděje nic neobvyklého:

  • upozornění antiviru nebo EDR, zejména podezřelé procesy spuštěné z Firefoxu, například příkazový řádek nebo PowerShell
  • neznámá rozšíření ve Firefoxu (about:addons)
  • nové nebo neznámé uživatelské účty a naplánované úlohy
  • neobvyklá odchozí spojení z pracovních stanic v logu firewallu nebo proxy
  • přihlášení do e-mailu či cloudových služeb z neobvyklých míst

Pokud najdete něco podezřelého, odpojte počítač od sítě, ale nevypínejte ho, aby se neztratily stopy v paměti. Hesla používaná na daném počítači změňte z jiného, čistého zařízení. Při důvodném podezření přizvěte odborníka na řešení incidentů, protože útok přes prohlížeč bývá často jen prvním krokem.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

← Všechny hrozby · RSS

Potřebujete pomoct s opravou nebo kontrolou?

Pomohu vám zjistit, které systémy jsou zasažené, bezpečně je aktualizovat a zkontrolovat, zda útočník už nebyl uvnitř. Začněme úvodní konzultací, při spolupráci se odečte z ceny projektu.

Podívat se na ceník [email protected]