Firefox 158 corrige plusieurs évasions du bac à sable

Le 13 octobre 2026, les notes de version de Firefox 158.0 ont indiqué sa première mise à disposition sur le canal stable, avec des correctifs de sécurité. Pour les personnes qui utilisent encore une version antérieure de Firefox sur ordinateur, la mise à jour doit être installée rapidement.

Le décompte de SecurityWeek recense 77 vulnérabilités corrigées dans Firefox 158, dont 30 classées à impact élevé. Plusieurs concernent une évasion du bac à sable, d’autres une élévation de privilèges ou des erreurs de mémoire. Ce volume justifie une mise à jour rapide, mais les composants touchés, les niveaux d’impact et les conditions d’exploitation diffèrent.

Évasions du bac à sable : les frontières visées

Firefox 158 referme plusieurs passages entre des composants du navigateur et la limite des processus de contenu.

Daté du 13 octobre et classé à impact global élevé, le bulletin MFSA 2026-106 de Mozilla associe explicitement plusieurs défauts corrigés dans Firefox 158 à une évasion du bac à sable. Dans le réseau, CVE-2026-109705 combine un problème d’isolation des sites, des limites incorrectes et une utilisation de mémoire après libération ; CVE-2026-109707 relève aussi d’une utilisation après libération et CVE-2026-109708 de limites incorrectes. Ces trois entrées sont classées à impact élevé.

Le graphisme comporte une autre évasion à impact élevé, CVE-2026-109712, liée à une mémoire non initialisée. Des évasions classées à impact modéré apparaissent dans le composant Windows Win32, Web Serial, les processus de contenu et le réseau. L’intitulé commun désigne une même frontière de sécurité, mais les voies techniques et les surfaces exposées ne sont pas identiques. Le défaut Win32, par exemple, concerne un composant propre à Windows ; cette précision ne s’applique pas aux autres entrées.

Le bac à sable limite ce qu’un processus chargé de contenu web peut faire au-delà de son périmètre. Une évasion fragilise cette séparation et mérite donc une attention particulière dans la décision de mise à jour. Les descriptions publiques donnent le composant, la famille du défaut et l’impact ; elles ne fournissent pas, pour chaque entrée, une chaîne complète permettant d’affirmer qu’une simple page visitée suffit à prendre le contrôle du système.

Élévations de privilèges : plusieurs composants concernés

Firefox 158 corrige des défauts d’élévation de privilèges dans la mise à jour et l’isolation des processus.

Une autre famille de correctifs touche les droits qu’une opération peut obtenir dans le navigateur. CVE-2026-109704 concerne le composant Application Update et reçoit un impact élevé. CVE-2026-109709 associe divulgation d’informations et élévation de privilèges dans le cloisonnement des processus ; elle est également classée élevée. Ces intitulés signalent des limites de droits potentiellement franchies, sans décrire à eux seuls un scénario d’exploitation complet.

La même catégorie apparaît à un niveau modéré pour WebExtensions, le déplacement et le zoom de page, ainsi que la navigation du DOM. Une autre entrée WebExtensions est classée faible. Pour un administrateur, ce contraste compte davantage qu’un simple nombre d’occurrences : l’étiquette « élévation de privilèges » ne dit ni quel composant est utilisé sur un poste ni quelles étapes une attaque demanderait. Pour l’utilisateur courant, ces défauts renforcent surtout la raison d’installer le correctif disponible.

Erreurs de mémoire : une famille, plusieurs mécanismes

Les défauts de mémoire occupent une large place dans la liste, notamment les utilisations après libération. On en trouve dans IndexedDB, le texte et Canvas2D du moteur graphique, le DOM, SVG, l’audio et la vidéo, ainsi que JavaScript et WebAssembly. Une même famille d’erreur dans ces composants ne produit pas automatiquement le même effet : la surface sollicitée, les droits du processus et les conditions propres au défaut changent d’une entrée à l’autre.

La liste comprend aussi des dépassements d’entier dans le graphisme et la mise en page du texte, ainsi que des erreurs de compilation JIT dans JavaScript et WebAssembly. Certaines failles de mémoire figurent parmi les entrées élevées, d’autres parmi les modérées. La priorité de mise à jour découle de l’ensemble des corrections publiées ; la seule mention d’une corruption mémoire ne suffit pas à établir qu’elle serait directement exploitable lors d’une navigation ordinaire.

Un changement de politique de publication contribue également à la longueur de la liste : chaque défaut de sûreté mémoire identifié en interne dispose désormais de sa propre entrée CVE, au lieu d’être regroupé sous un seul identifiant. Ce choix rend les défauts plus visibles séparément. Il faut donc lire le total comme un nombre de défauts documentés, et non comme une mesure de la probabilité d’attaque sur chaque ordinateur.

Vérifier la version réellement active

Firefox 158 devient la version active après la mise à jour et le redémarrage du navigateur.

Pour Firefox installé directement depuis Mozilla sur ordinateur, ouvrez le menu, choisissez « Aide », puis « À propos de Firefox ». La fenêtre indique le numéro de version et lance la recherche de mises à jour. Si un téléchargement commence, attendez sa fin et cliquez sur « Redémarrer pour mettre à jour Firefox ». Rouvrez ensuite « À propos de Firefox » : sur le canal stable concerné par cette publication, la version affichée doit être 158.0 ou une version ultérieure.

Le redémarrage fait la différence entre un correctif téléchargé et un navigateur qui l’exécute effectivement. Une fenêtre annonçant un téléchargement terminé ne suffit donc pas pour conclure que la session en cours bénéficie déjà des corrections. Dans un parc géré, le numéro affiché après relance permet de constater le résultat sur les postes, plutôt que de se fier seulement à la date de déploiement prévue.

La méthode d’installation change le chemin de mise à jour. Sous Linux, une édition fournie par les dépôts de la distribution reçoit normalement ses paquets par le gestionnaire de paquets ; une installation obtenue directement auprès de Mozilla peut utiliser la vérification intégrée. Une installation issue du Microsoft Store reçoit ses mises à jour par ce magasin. Le critère final reste la version effectivement lancée sur le canal stable : tant qu’elle est antérieure à 158.0, les corrections de cette publication ne sont pas présentes dans ce navigateur.