Mozilla Firefox und Thunderbird: Mehrere Schwachstellen
WID-SEC-2026-3375 · erstmals 16.09.2026 · aktualisiert 29.10.2026 · CVSS 8,8
Worum es geht
Firefox ist ein Open Source Web Browser. ESR ist die Variante mit verlängertem Support. Thunderbird ist ein Open Source E-Mail Client. Ein Angreifer kann mehrere Schwachstellen in Mozilla Firefox, Firefox ESR und Thunderbird ausnutzen, um seine Privilegien zu erhöhen, Sicherheitsmaßnahmen zu umgehen, Daten offenzulegen oder zu manipulieren, den Speicher zu beschädigen, Denial-of-Service-Zustände zu verursachen oder andere, nicht näher spezifizierte Angriffe durchzuführen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- seine Privilegien zu erhöhen
- Sicherheitsmaßnahmen zu umgehen
- Daten offenzulegen oder zu manipulieren
- den Speicher zu beschädigen
- Denial-of-Service-Zustände zu verursachen oder andere, nicht näher spezifizierte Angriffe durchzuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Debian Linux
- Amazon Linux 2
- Red Hat Enterprise Linux
- IGEL OS
- RESF Rocky Linux
- SUSE Linux
- SUSE openSUSE
- Oracle Linux
- Mozilla Firefox <156
- Mozilla Firefox ESR <115.41
- Mozilla Firefox ESR <140.16
- Mozilla Firefox ESR <153.3
und 3 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Mozilla Firefox 156
- Mozilla Firefox ESR 115.41
- Mozilla Firefox ESR 140.16
- Mozilla Firefox ESR 153.3
- Mozilla Thunderbird 156
- Mozilla Thunderbird 140.16
- Mozilla Thunderbird 153.3
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Mozilla Security Advisory mfsa2026-90 vom 2026-09-15 www.mozilla.org
- Mozilla Security Advisory mfsa2026-91 vom 2026-09-15 www.mozilla.org
- Mozilla Security Advisory mfsa2026-92 vom 2026-09-15 www.mozilla.org
- Mozilla Security Advisory mfsa2026-93 vom 2026-09-15 www.mozilla.org
- Mozilla Security Advisory mfsa2026-94 vom 2026-09-15 www.mozilla.org
- Mozilla Security Advisory mfsa2026-95 vom 2026-09-15 www.mozilla.org
- Debian Security Advisory DSA-6503 vom 2026-09-17 security-tracker.debian.org
- Debian Security Advisory DLA-4782 vom 2026-09-17 lists.debian.org
- Debian Security Advisory DSA-6501 vom 2026-09-17 security-tracker.debian.org
- Debian Security Advisory DLA-4781 vom 2026-09-17 lists.debian.org
- Mozilla Security Advisory MFSA2026-96 vom 2026-09-16 www.mozilla.org
- SUSE Security Update SUSE-SU-2026:4247-1 vom 2026-09-17 lists.suse.com
- SUSE Security Update SUSE-SU-2026:4264-1 vom 2026-09-18 lists.suse.com
- openSUSE Security Update OPENSUSE-SU-2026:11796-1 vom 2026-09-18 lists.opensuse.org
- IGEL Security Notice ISN-2026-38 vom 2026-09-21 kb.igel.com
- Red Hat Security Advisory RHSA-2026:69461 vom 2026-09-22 access.redhat.com
- Red Hat Security Advisory RHSA-2026:69462 vom 2026-09-21 access.redhat.com
- Oracle Linux Security Advisory ELSA-2026-69462 vom 2026-09-22 linux.oracle.com
- openSUSE Security Update OPENSUSE-SU-2026:11826-1 vom 2026-09-22 lists.opensuse.org
- Oracle Linux Security Advisory ELSA-2026-69461 vom 2026-09-23 linux.oracle.com
- Rocky Linux Security Advisory RLSA-2026:69461 vom 2026-09-22 errata.build.resf.org
- openSUSE Security Update OPENSUSE-SU-2026:11827-1 vom 2026-09-22 lists.opensuse.org
- Red Hat Security Advisory RHSA-2026:70642 vom 2026-09-23 access.redhat.com
- Rocky Linux Security Advisory RLSA-2026:69462 vom 2026-09-23 errata.build.resf.org
- Red Hat Security Advisory RHSA-2026:71652 vom 2026-09-24 access.redhat.com
und 40 weitere Quellen in der Originalmeldung
CVE: CVE-2026-92005, CVE-2026-92006, CVE-2026-92007, CVE-2026-92008, CVE-2026-92009, CVE-2026-92010, CVE-2026-92011, CVE-2026-92012, CVE-2026-92013, CVE-2026-92014, CVE-2026-92015, CVE-2026-92016, CVE-2026-92017, CVE-2026-92018, CVE-2026-92019, CVE-2026-92020, CVE-2026-92021, CVE-2026-92022, CVE-2026-92023, CVE-2026-92024 …
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.