Firefox a Thunderbird: dvě kritické chyby v paměti se skóre CVSS 9,8, aktualizu…

Co se stalo

Mozilla 27. října 2026 vydala bezpečnostní aktualizace pro prohlížeč Firefox a poštovního klienta Thunderbird. Mezi desítkami opravených chyb jsou dvě, které databáze NVD vede jako kritické: CVE-2026-117946 v javascriptovém jádru (část prohlížeče, která spouští skripty na webových stránkách) a CVE-2026-117945 v komponentě, která zpracovává formát XML.

Obě chyby jsou stejného druhu: program špatně hlídá hranice paměti, se kterou pracuje. Opravené jsou ve Firefoxu 159, ve Firefoxu ESR 153.6, v Thunderbirdu 159 a v Thunderbirdu 153.6. Chybu v javascriptovém jádru opravuje i starší podporovaná větev Firefox ESR 115.44.

Mozilla zároveň změnila způsob zveřejňování. Každou paměťovou chybu, kterou najde interně, dnes vydává jako samostatné CVE, proto jsou aktuální bulletiny tak dlouhé. K 5. listopadu 2026 není žádná z obou chyb v katalogu CISA KEV a evropská databáze zranitelností EUVD agentury ENISA neuvádí, že by byly zneužívány. Ani Mozilla v bulletinech zneužívání nezmiňuje.

Proč je to nebezpečné

Chybu typu „nesprávné hranice paměti“ (CWE-119) si představte jako skladníka, který má do regálu uložit deset krabic, ale nekontroluje, kde regál končí. Jedenáctou krabici položí do sousedního regálu a přepíše tam něco cizího. V programu to znamená, že data ze špatně zpracované webové stránky mohou přepsat jinou část paměti prohlížeče. Chyby tohoto druhu mohou v horším případě vést až ke spuštění cizího kódu, Mozilla ale konkrétní podmínky nezveřejnila.

CVSS je stupnice od 0 do 10, která vyjadřuje závažnost chyby. Obě chyby mají v databázi NVD skóre 9,8 podle CVSS verze 3.1, tedy kritickou závažnost. Toto hodnocení nepřidělila samotná NVD, ale jiná organizace. Mozilla své bulletiny celkově označuje dopadem „high“, tedy vysoký.

Podle vektoru CVSS útok probíhá po síti, útočník nepotřebuje přihlášení ani žádná oprávnění a hodnocení nepočítá s další akcí oběti. U prohlížeče to v praxi znamená, že rizikem je zpracování škodlivého obsahu, například webové stránky. Hodnocení předpokládá vysoký dopad na důvěrnost, integritu i dostupnost, tedy potenciálně únik i změnu dat a výpadek programu.

U Thunderbirdu Mozilla upozorňuje, že mnoho z těchto chyb nelze zneužít přes e-mail, protože při čtení pošty jsou skripty vypnuté. Riziko ale trvá všude, kde Thunderbird zobrazuje obsah podobně jako prohlížeč.

EPSS je model, který odhaduje pravděpodobnost, že chyba začne být zneužívána v příštích třiceti dnech. Pro obě chyby je k 5. listopadu 2026 velmi nízká, pod půl procenta. Katalog CISA KEV je seznam chyb, o kterých americká agentura CISA ví, že je útočníci skutečně zneužívají, tyto dvě v něm nejsou. Aktualizaci přesto neodkládejte, prohlížeč patří ve firmě k nejvíce vystaveným programům.

Koho se to týká

Firefox starší než 159
Firefox ESR starší než 153.6
Firefox ESR starší než 115.44 (jen CVE-2026-117946, chybu v XML popis u větve 115 nezmiňuje)
Thunderbird starší než 159
Thunderbird starší než 153.6

Týká se to hlavně firemních počítačů a notebooků, na kterých lidé běžně prohlížejí web. Pozor si dejte i na terminálové servery (například Remote Desktop nebo Citrix), kde jeden Firefox používá více lidí najednou, a na linuxové servery s grafickým prostředím. Verze ESR s dlouhodobou podporou jsou oblíbené v organizacích, které chtějí stabilní prostředí, a také potřebují aktualizaci.

Mozilla ani NVD neuvádějí jako dotčené jiné prohlížeče. Pokud máte Firefox nebo Thunderbird z balíčků linuxové distribuce, sledujte bezpečnostní oznámení vaší distribuce, která může opravu dodat pod vlastním označením balíčku.

Jak zjistit, zda jste zasaženi

Nejjednodušší cesta: ve Firefoxu otevřete nabídku, zvolte Nápověda a pak O aplikaci Firefox. V Thunderbirdu je to Nápověda a O aplikaci Thunderbird. Okno ukáže verzi a zároveň zkontroluje aktualizace. Ve Firefoxu najdete podrobnosti i po zadání about:support do adresního řádku.

Na Linuxu zjistíte verzi těmito příkazy (jen čtou, nic nemění). Na Ubuntu bývá Firefox nainstalovaný jako balíček snap, pak platí výstup příkazu snap list, ne dpkg:

firefox --version
thunderbird --version
dpkg -l 'firefox*' 'thunderbird*'
rpm -q firefox thunderbird
snap list firefox thunderbird

Ve Windows v PowerShellu:

(Get-Item "$env:ProgramFiles\Mozilla Firefox\firefox.exe").VersionInfo.ProductVersion
(Get-Item "$env:ProgramFiles\Mozilla Thunderbird\thunderbird.exe").VersionInfo.ProductVersion

Pokud spravujete více počítačů, podívejte se do inventáře softwaru ve vašem nástroji pro správu (Intune, SCCM, RMM) a vyhledejte všechny instalace Firefoxu a Thunderbirdu.

Jak to opravit

Opravené verze: Firefox 159, Firefox ESR 153.6, Firefox ESR 115.44, Thunderbird 159 a Thunderbird 153.6. Mozilla neuvádí žádné dočasné řešení, jedinou ochranou je aktualizace.

Nejdřív aktualizujte Firefox na počítačích, kde se běžně prohlíží web, a na terminálových serverech. Tam je riziko největší.
Běžný Firefox aktualizujte na verzi 159. Stačí otevřít okno O aplikaci Firefox a restartovat prohlížeč.
Pokud používáte ESR, přejděte na 153.6 (větev 153) nebo 115.44 (větev 115). U větve 115 Mozilla uvádí jen opravu chyby v javascriptovém jádru, proto kde to jde, dejte přednost větvi 153. Při centrální správě nasaďte nový instalátor přes Intune, GPO nebo jiný nástroj.
Potom aktualizujte Thunderbird na 159, případně 153.6 podle toho, kterou větev používáte.
Na Linuxu nainstalujte bezpečnostní aktualizace z repozitáře distribuce.
Ověřte, že prohlížeče byly po aktualizaci opravdu restartovány. Dokud běží stará instance, oprava se neprojeví.

Zkontrolujte, zda automatické aktualizace nejsou vypnuté firemní politikou. Pokud ano, nastavte si pravidelný proces, protože Mozilla vydává bezpečnostní opravy často.

Co když už jste mohli být napadeni

Mozilla ani jiné zdroje zatím nezveřejnily žádné indikátory kompromitace a zneužívání není známo. Pokud ale máte důvod k podezření, zaměřte se na obecné známky napadení prohlížeče.

Upozornění antiviru nebo EDR, kde firefox.exe či thunderbird.exe spouští nečekané procesy, například cmd.exe nebo powershell.exe.
Neznámá rozšíření v about:addons a změněná domovská stránka nebo vyhledávač.
Nové naplánované úlohy, služby nebo položky automatického spouštění, které nikdo nepřidal.
Neznámé lokální nebo doménové účty a neobvyklá odchozí spojení z pracovních stanic.

Pokud něco z toho najdete, odpojte počítač od sítě, nemažte stopy a přizvěte odborníka na bezpečnostní incidenty. Platí to hlavně tehdy, pokud šlo o terminálový server nebo počítač s přístupem k citlivým datům.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

Firefox a Thunderbird: dvě kritické chyby v paměti se skóre CVSS 9,8, aktualizujte co nejdřív