Firefox 158: 77 κενά ασφαλείας, με 30 να χαρακτηρίζονται υψηλού κινδύνου

Η Mozilla δημοσίευσε στις 13 Οκτωβρίου 2026 τη συμβουλή ασφαλείας MFSA 2026-106: ο Firefox 158 διορθώνει 77 ευπάθειες CVE, από τις οποίες 30 χαρακτηρίζονται υψηλού κινδύνου. Για όσους χρησιμοποιούν την κανονική έκδοση του Firefox, η εγκατάσταση της ενημέρωσης έχει προτεραιότητα, καθώς ορισμένα σφάλματα αφορούν το sandbox, την απομόνωση ιστοτόπων και τα δικαιώματα διεργασιών.

Το PCWorld καταγράφει επίσης 33 ευπάθειες μέτριου και 14 χαμηλού κινδύνου, μαζί με 24 σφάλματα χρήσης μνήμης μετά την αποδέσμευσή της και οκτώ περιπτώσεις πιθανής διαφυγής από το sandbox. Για τις εγκαταστάσεις εκτεταμένης υποστήριξης αναφέρει χωριστές ενημερώσεις, Firefox ESR 153.5.0 και 115.43.0· οι διαχειριστές πρέπει να ελέγξουν τον κλάδο που χρησιμοποιούν, αντί να αναζητήσουν την έκδοση 158 σε κάθε συσκευή.

Τι σημαίνει στην πράξη η ένδειξη «high»

Στην κλίμακα επιπτώσεων της Mozilla, μια ευπάθεια υψηλού κινδύνου μπορεί να επιτρέψει συλλογή ευαίσθητων δεδομένων από ιστοτόπους σε άλλα παράθυρα ή εισαγωγή δεδομένων ή κώδικα σε αυτούς, χωρίς περισσότερες από τις συνήθεις ενέργειες περιήγησης. Η ένδειξη περιγράφει τη δυνητική επίπτωση και τις απαιτούμενες ενέργειες του χρήστη. Δεν σημαίνει ότι κάθε καταχώριση έχει ήδη χρησιμοποιηθεί σε επίθεση.

Αυτός είναι ο λόγος που η ενημέρωση αξίζει προτεραιότητα ακόμη και για κάποιον που δεν εγκαθιστά επεκτάσεις ή δεν αλλάζει προχωρημένες ρυθμίσεις. Η συνηθισμένη περιήγηση περιλαμβάνει άνοιγμα σελίδων, μετακίνηση ανάμεσα σε καρτέλες και επεξεργασία περιεχομένου από διαφορετικούς ιστοτόπους. Όταν το πιθανό αποτέλεσμα ενός σφάλματος αφορά δεδομένα άλλου ιστοτόπου ή την εκτέλεση κώδικα, η προσεκτική επιλογή σελίδων δεν υποκαθιστά τη διόρθωση στο πρόγραμμα περιήγησης.

Πού επηρεάζονται το sandbox και η απομόνωση ιστοτόπων

Οι πιο ουσιαστικές καταχωρίσεις για τα όρια προστασίας δεν περιγράφουν όλες το ίδιο ελάττωμα. Στο στοιχείο δικτύωσης εμφανίζονται περιπτώσεις διαφυγής από το sandbox που συνδέονται με χρήση αποδεσμευμένης μνήμης ή εσφαλμένο έλεγχο ορίων. Μία καταχώριση συνδυάζει μάλιστα διαφυγή από το sandbox με πρόβλημα απομόνωσης ιστοτόπων. Στα γραφικά υπάρχει ξεχωριστή περίπτωση διαφυγής που σχετίζεται με μη αρχικοποιημένη μνήμη.

Το sandbox περιορίζει όσα μπορεί να κάνει μια διεργασία που επεξεργάζεται περιεχόμενο ιστοσελίδων. Η απομόνωση ιστοτόπων επιδιώκει να κρατά χωριστά περιεχόμενα διαφορετικών προελεύσεων. Ένα σφάλμα στο πρώτο όριο μπορεί να διευρύνει τις δυνατότητες μιας περιορισμένης διεργασίας, ενώ ένα σφάλμα στο δεύτερο αφορά τον διαχωρισμό του περιεχομένου. Γι’ αυτό η παρουσία και των δύο κατηγοριών στην ίδια ενημέρωση έχει μεγαλύτερη πρακτική βαρύτητα από έναν απλό συνολικό αριθμό διορθώσεων.

Στον κατάλογο υπάρχουν ακόμη περιπτώσεις πιθανής διαφυγής από το sandbox σε διεργασίες περιεχομένου, στη δικτύωση και σε επιμέρους στοιχεία του προγράμματος. Ορισμένες αξιολογούνται ως μέτριου κινδύνου, ανάλογα με τις προϋποθέσεις τους. Οι τεχνικές ετικέτες αλληλοεπικαλύπτονται: ένα σφάλμα μπορεί να περιγράφεται ταυτόχρονα ως χρήση αποδεσμευμένης μνήμης και ως διαφυγή από το sandbox. Επομένως, τα πλήθη ανά κατηγορία δεν αθροίζονται σαν να αποτελούσαν ανεξάρτητες ομάδες CVE.

Σφάλματα μνήμης και κλιμάκωση δικαιωμάτων

Τα σφάλματα use-after-free εμφανίζονται σε διαφορετικά υποσυστήματα, μεταξύ των οποίων η αποθήκευση IndexedDB, τα γραφικά, το DOM και η μηχανή JavaScript. Ο όρος σημαίνει ότι κώδικας προσπελαύνει μια περιοχή μνήμης αφού αυτή έχει αποδεσμευτεί. Η ακριβής συνέπεια εξαρτάται από το συγκεκριμένο σφάλμα και τις συνθήκες αξιοποίησής του· η καταχώριση ενός υποσυστήματος στον κατάλογο δεν αποδεικνύει από μόνη της μια έτοιμη αλυσίδα επίθεσης.

Άλλες διορθώσεις αφορούν την κλιμάκωση δικαιωμάτων στο στοιχείο ενημέρωσης της εφαρμογής και συνδυασμό αποκάλυψης πληροφοριών με κλιμάκωση δικαιωμάτων στο υποσύστημα απομόνωσης διεργασιών. Πρόκειται για διαφορετικές συνέπειες από ένα σφάλμα που περιορίζεται στην εμφάνιση μιας ιστοσελίδας. Η πρώτη ομάδα αφορά τα δικαιώματα που μπορεί να αποκτήσει ένα τμήμα του προγράμματος, ενώ η δεύτερη αγγίζει τόσο την πρόσβαση σε πληροφορίες όσο και τα όρια μεταξύ διεργασιών.

Αποκάλυψη πληροφοριών και μέγεθος της ενημέρωσης

Οι διορθώσεις αποκάλυψης πληροφοριών εκτείνονται από τη δικτύωση και την προβολή PDF έως την προσωρινή μνήμη, το WebRTC και την αποθήκευση IndexedDB. Η κοινή ετικέτα δηλώνει πιθανή πρόσβαση σε πληροφορίες έξω από το προβλεπόμενο πλαίσιο, αλλά δεν περιγράφει το ίδιο είδος δεδομένων ή την ίδια σοβαρότητα σε κάθε περίπτωση. Στον κατάλογο συνυπάρχουν σχετικές καταχωρίσεις υψηλού, μέτριου και χαμηλού κινδύνου.

Το συνολικό πλήθος χρειάζεται επίσης να διαβαστεί με βάση τον τρόπο καταγραφής. Στη νέα πρακτική δημοσίευσης, εσωτερικά εντοπισμένα σφάλματα ασφάλειας μνήμης που παλαιότερα συγκεντρώνονταν σε μία καταχώριση αποκτούν πλέον ξεχωριστά CVE. Αυτό κάνει τον κατάλογο λεπτομερέστερο, χωρίς να μετατρέπει τον αριθμό των καταχωρίσεων σε μέτρο της πιθανότητας επίθεσης για έναν συγκεκριμένο χρήστη. Η προτεραιότητα της ενημέρωσης στηρίζεται κυρίως στις περιγραφόμενες επιπτώσεις και στα όρια ασφαλείας που επηρεάζονται.

Ποια έκδοση να ελέγξουν χρήστες και διαχειριστές

Στην κανονική έκδοση του Firefox για υπολογιστή, η εγκατεστημένη έκδοση πρέπει να είναι η 158 ή νεότερη διαθέσιμη έκδοση της ίδιας γραμμής. Από το μενού του προγράμματος, η επιλογή «Βοήθεια» και έπειτα «Σχετικά με τον Firefox» εμφανίζει την έκδοση και ελέγχει για ενημερώσεις. Αν ληφθεί νέα έκδοση, χρειάζεται επανεκκίνηση του προγράμματος για να εφαρμοστεί.

Σε υπολογιστές όπου ο Firefox εγκαθίσταται μέσω διανομής Linux, οι ενημερώσεις διαχειρίζονται από το σύστημα πακέτων της διανομής. Στις εταιρικές εγκαταστάσεις, ο έλεγχος πρέπει να αφορά την έκδοση που εκτελείται πράγματι στους υπολογιστές, επειδή η διανομή ενός πακέτου δεν αποδεικνύει ότι ολοκληρώθηκε η εγκατάστασή του. Για τον Firefox ESR ισχύει η αντίστοιχη διορθωμένη έκδοση του συγκεκριμένου κλάδου.

Μια συσκευή που εξακολουθεί να εκτελεί παλαιότερη έκδοση παραμένει χωρίς τις διορθώσεις της νέας εγκατάστασης, ακόμη κι αν η λήψη έχει ολοκληρωθεί. Η ένδειξη έκδοσης μετά την επανεκκίνηση είναι ο σαφέστερος τρόπος να διαπιστωθεί ότι η ενημέρωση εφαρμόστηκε.

Διαβάστε επίσης:

• Παραβίαση ASOS: οι κωδικοί έμειναν ασφαλείς, τα στοιχεία επικοινωνίας όχι
• Bitwarden ή KeePassXC: ο συγχρονισμός αλλάζει ολόκληρο το μοντέλο κινδύνου
• Gemini Enterprise: οι πράκτορες ασφαλείας περνούν στη δράση