Firefox 158 korjasi vakavia aukkoja

Mozilla julkaisi Firefox 158:n 13. lokakuuta 2026, ja Mozillan tietoturvatiedote luokittelee päivityksen kokonaisvaikutuksen korkeaksi. Korjauksiin kuuluvat muun muassa päivityskomponentin oikeuksien korotus, hiekkalaatikon ohituksia ja muistin vapauttamisen jälkeisiä käyttövirheitä. Kyse on tietoturvapäivityksestä, jonka asentaminen vähentää vanhan selaimen altistumista näille tunnetuille haavoittuvuuksille.

Kanadan kyberturvallisuuskeskus julkaisi 16. lokakuuta 2026 päivityskehotuksen: haavoittuvia ovat Firefox-versiot ennen 158:aa sekä Firefox ESR -versiot ennen 153.5:tä ja 115.43:a. Käyttäjän tai ylläpitäjän on verrattava asennettua versiota oman julkaisuharansa korjattuun tasoon. ESR:n pienempi pääversionumero ei yksin kerro, onko selain ajan tasalla.

Korjaukset koskevat selaimen turvarajoja

Päivityskomponentin oikeuksien korotukseen liittyvä virhe kuuluu korkeaan vaikutusluokkaan. Komponentti osallistuu selaimen päivittämiseen, joten sitä koskeva oikeusvirhe on eri asia kuin esimerkiksi sivun ulkoasua rikkova toimintahäiriö. Oikeuksien korotus tarkoittaa mahdollisuutta saada ohjelman osalle enemmän oikeuksia kuin sille on tarkoitettu. Julkaistussa luettelossa ei kuvata tämän virheen käyttöä toteutuneessa hyökkäyksessä.

Useat korkealle luokitellut korjaukset liittyvät hiekkalaatikon ohittamiseen. Hiekkalaatikko rajaa verkkosisältöä käsittelevän prosessin oikeuksia; ohitus voi heikentää tätä rajaa, jos haitallinen sisältö pääsee hyödyntämään muuta virhettä. Verkkotoiminnoissa on kirjattu myös tapaus, jossa hiekkalaatikon ohitus, sivustojen eristysongelma ja muistivirhe liittyvät samaan haavoittuvuuteen. Grafiikan puolella on erillinen alustamattomaan muistiin liittyvä hiekkalaatikon ohitus.

Hiekkalaatikko ja sivustojen eristys suojaavat eri rajoja. Edellinen rajoittaa selaimen prosessin pääsyä järjestelmän toimintoihin, jälkimmäinen erottaa eri verkkosivujen sisältöä toisistaan. Kun samaan verkkotoimintojen haavoittuvuuteen liittyy ongelmia molemmissa, käyttäjä ei voi arvioida riskiä pelkästään sen perusteella, millä sivustoilla hän tavallisesti käy. Päivitys korjaa luetellut rajausvirheet.

Muistiturvallisuuden korjaukset ulottuvat IndexedDB-tallennukseen, tekstin ja kaksiulotteisen grafiikan käsittelyyn, XML:ään sekä selaimen sisäisiin DOM-toimintoihin. Use-after-free-virheessä ohjelma käyttää muistia sen jälkeen, kun muistialue on vapautettu. Luettelo sisältää myös JavaScript-moottorin rajatarkistusten virheitä sekä WebAssembly-toimintoon liittyvän JIT-käännösvirheen. Selaimen tavallinen käyttö kulkee näiden osien kautta monilla sivustoilla, joten yksittäisen verkkopalvelun välttäminen ei korvaa selaimen päivittämistä.

Pitkä CVE-luettelo ei tarkoita, että jokaisesta virheestä olisi raportoitu hyökkäys. Julkaisun yhteydessä haavoittuvuudet on eritelty aiempaa tarkemmin: sisäisesti löydettyjä muistiturvallisuusvirheitä ei enää koottu yhden tunnuksen alle, vaan kukin bugi sai oman haavoittuvuustunnuksensa. Käyttäjän kannalta ratkaisevaa on vaikutusluokka ja se, koskeeko korjaus hänen asennettua julkaisuaan, ei luettelon pituus sellaisenaan.

Kaikki korjaukset eivät ole samaa vaikutusluokkaa. Kohtalaisiksi on luokiteltu muun muassa PDF-katselimen tietojen paljastumiseen, selainlaajennusten oikeuksiin ja organisaatiokäytäntöihin liittyviä ongelmia; vähäisiksi luokiteltujen joukossa on palvelunestoon ja tiedon paljastumiseen liittyviä virheitä. Käytännön päätös ei kuitenkaan edellytä yksittäisten haavoittuvuuksien valikointia: korjaukset toimitetaan kyseisen julkaisun mukana.

ESR-versiot on verrattava omaan haaraansa

Firefox ESR:n korjatut tasot ovat tässä julkaisukierroksessa 153.5 ja 115.43. Ne ovat eri julkaisuharojen versioita, eivät saman haaran peräkkäisiä korjauksia. Tavallisen Firefoxin numeroa ei siksi pidä käyttää ESR-asennuksen vertailukohtana. Jos työasemassa näkyy ESR 115 -haaran numero, olennainen tieto on sen loppuosa: onko asennus saavuttanut tason 115.43.

ESR-haaran kohdalla sama pääversionumero voi kattaa useita peräkkäisiä alaversioita. Siksi tietokoneessa näkyvä alkuosa kertoo vain julkaisulinjan, ei sitä, onko juuri tämän kierroksen suojauskorjaus mukana. Esimerkiksi merkintä ESR 153 viittaa oikeaan haaraan, mutta vasta loppuosan vertaaminen tasoon 153.5 ratkaisee, onko kyseinen korjaus asennettu. Sama periaate koskee vanhempaa ESR 115 -haaraa.

Korjausluettelotkin eroavat haarojen välillä. Päivityskomponentin oikeuksien korotus kuuluu tavallisen Firefoxin ja ESR 153.5:n korjauksiin, kun taas ESR 115.43:n korjaukset painottuvat muun muassa muisti-, grafiikka- ja JavaScript-virheisiin. Tämä ero ei tee vanhemman ESR-haaran päivityksestä tarpeetonta: myös siinä korjatut virheet sisältävät korkeaan vaikutusluokkaan kuuluvia ongelmia. Haarojen erottaminen on erityisen tärkeää ympäristössä, jossa selain jaetaan työasemiin keskitetysti.

Ylläpitäjän kannattaa erottaa inventaariossa tavallinen Firefox kummastakin ESR-haarasta ja tarkistaa puuttuvat päivitykset kullekin ryhmälle erikseen. Silloin korjatun ESR-asennuksen pienempi pääversionumero ei synnytä väärää hälytystä, eikä saman haaran vanha alaversio jää huomaamatta. Käyttäjälle sama sääntö on yksinkertainen: tarkista ensin, lukeeko tuotenimessä ESR, ja vertaa vasta sitten koko versionumeroa.

Version näkee selaimen omasta valikosta

Mozillan päivitysohje neuvoo avaamaan selaimen valikosta Ohje-kohdan ja Tietoja Firefoxista -ikkunan. Ikkuna näyttää asennetun version ja tarkistaa päivitykset. Jos uusi versio latautuu, päivitys tulee käyttöön vasta, kun selain käynnistetään uudelleen. Lopullinen numero kannattaa siksi lukea samasta ikkunasta uudelleenkäynnistyksen jälkeen.

Tavallinen Firefox: version on oltava vähintään 158. Jos numero on pienempi, tämän julkaisun korjaukset puuttuvat.
Firefox ESR 153 -haara: tarkista koko numero. Korjattu taso on 153.5; pelkkä 153-alkuinen numero ei riitä.
Firefox ESR 115 -haara: korjattu taso on 115.43. Vertaa numeroa tähän haaraan, älä uudempaan ESR-haaraan tai tavalliseen Firefoxiin.

Linux-jakelun mukana asennetun Firefoxin päivitykset tulevat yleensä jakelun paketinhallinnan kautta, ja Microsoft Storesta asennetun version päivitykset Storen kautta. Keskitetysti hallitussa organisaatiossa selaimen oma tarkistusikkuna voi näyttää version, vaikka päivityksen jakelusta vastaa ylläpito. Jos numero jää korjattua tasoa pienemmäksi uudelleenkäynnistyksen jälkeen, työaseman suojauskorjaus on vielä asentamatta ja sen jakelu on selvitettävä käytössä olevan asennustavan mukaan.

Lue myös: