Firefox 160 ve ESR 153.7 yayımlandı; 99 açığın 58'i yüksek önemde, 13'ü sandbox escape
Mozilla 10 Kasım'da Firefox 160, Firefox ESR 153.7 ve ESR 115.45 için güvenlik bültenleri yayımladı. Firefox 160'taki 99 CVE'nin 58'i yüksek önemde; aralarında içerik sürecinden çıkışa yol açabilen 13 sandbox escape açığı var. Mozilla istismar bildirmedi.
CVE-2026-124853, CVE-2026-124855, CVE-2026-124859
Mozilla, 10 Kasım'da Firefox 160'ı yayımladı ve aynı gün üç güvenlik bülteni paylaştı. Firefox 160 bülteni (MFSA 2026-125) 99 CVE içeriyor. Bunların 58'i "high", geri kalanı "moderate" ve "low" önemde; "critical" seviyesinde açık yok. ESR hattında ise Firefox ESR 153.7 81 CVE'yi, Windows 7/8 ve eski macOS kullanıcılarına yönelik ESR 115.45 de 28 CVE'yi kapatıyor.
Bültenin öne çıkan kısmı sandbox escape açıkları. Graphics: Text, Storage: Cache API, DOM: Service Workers, IPC, Widget: Gtk, Graphics: WebGPU, Console ve Agent bileşenlerinde 13 açık, tarayıcının içerik sürecini izole eden sandbox'tan çıkışa yol açabiliyor. Bunların bir kısmı use-after-free, bir kısmı sınır kontrolü hatasından kaynaklanıyor. Saldırganlar genellikle bu tür açıkları bir renderer açığıyla zincirleyerek kullanır. Ayrıca WebRender, WebRTC: Networking, DOM: Navigation ve Nimbus Desktop Client bileşenlerinde privilege escalation açıkları var. Mozilla açıkların hiçbirinin saldırılarda kullanıldığını bildirmedi; CISA KEV kaydı da yok.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Firefox | 160 öncesi sürümler | 160 |
| Firefox ESR (153 hattı) | 153.7 öncesi | 153.7 |
| Firefox ESR (115 hattı, Windows 7/8 ve eski macOS) | 115.45 öncesi | 115.45 |
| Firefox for iOS | Üretici bildirimindeki liste (MFSA 2026-124) | 160.0 |
Thunderbird için ayrı bülten henüz yayımlanmadı. Thunderbird, Firefox ESR kod tabanını kullandığı için Mozilla'nın güvenlik bülteni sayfası takip edilmeli. Bir önceki acil Firefox güncellemesi için Firefox 152.0.6 haberimize bakabilirsiniz.
Beni etkiliyor mu?
Firefox'ta sürümü Menü › Yardım › Firefox Hakkında yolundan görebilirsiniz. Adres çubuğuna about:support yazarak da sürüm ve güncelleme kanalını kontrol edebilirsiniz.
Linux sunucu ve iş istasyonlarında kurulu paket sürümünü salt okunur komutlarla görebilirsiniz:
rpm -q firefox
dpkg -l | grep -i firefoxWindows filolarında kurulu sürümü listelemek için:
Get-ItemProperty "HKLM:\SOFTWARE\Mozilla\Mozilla Firefox" | Select-Object CurrentVersionKurumsal ortamlarda ESR kanalının kullanılıp kullanılmadığını grup ilkesi raporlarından ya da yazılım envanterinden doğrulayın.
Ne yapılmalı?
- Firefox'u 160'a, ESR kullanıcıları 153.7'ye güncellesin. Windows 7/8 gibi eski sistemlerde ESR 115.45 kurulmalı.
- Güncellemenin uygulanması için tarayıcı yeniden başlatılmalı. Otomatik güncelleme açık olsa bile tarayıcı yeniden başlatılmadıkça eski sürüm çalışmaya devam eder.
- Kurumsal dağıtımda ESR 153.7 paketini yazılım dağıtım aracınızla önceliklendirin ve change management kaydına sandbox escape açıklarını not edin.
- Linux dağıtımlarının paketlenmiş Firefox güncellemelerini (Debian, Ubuntu, RHEL) dağıtım güvenlik bültenlerinden takip edin.
- Mozilla şu an istismar bildirmiyor. KEV ya da "exploited in the wild" bilgisi gelirse öncelik acile çıkar; masa durumu izliyor.
