Firefox 152.0.6: publiczny kod exploitów dla dwóch krytycznych luk

Mozilla wydała Firefox 152.0.6 z poprawkami dwóch krytycznych podatności: CVE-2026-15718 w komponencie JavaScript/WebAssembly oraz CVE-2026-15719 w mechanizmie izolacji witryn i nawigacji DOM. Dla obu producent potwierdza dostępność publicznego kodu exploitów. Jednocześnie Mozilla zaznacza, że nie ma wiedzy o atakach wykorzystujących te błędy w środowiskach produkcyjnych.

Te dwa stwierdzenia nie są sprzeczne. Publiczny kod oznacza, że bariera techniczna dla kolejnych atakujących spadła. Brak potwierdzonego wykorzystania oznacza jedynie, że producent nie ma obecnie takiego dowodu. Dla organizacji jest to moment na szybką, kontrolowaną aktualizację — nie na czekanie na pierwszy wpis w katalogu KEV.

Co zostało naprawione

CVE	Komponent	Ocena Mozilla	Stan wiedzy
CVE-2026-15718	JavaScript: WebAssembly	critical	exploit publiczny, brak znanych ataków in-the-wild
CVE-2026-15719	DOM: Navigation / site isolation	critical	exploit publiczny, brak znanych ataków in-the-wild

CVE-2026-15718 dotyczy nieprawidłowego wskaźnika w obsłudze WebAssembly. Błędy pamięci w silniku przeglądarki są poważne, ponieważ złośliwa treść jest przetwarzana w procesie, który interpretuje kod pochodzący z nieufnej strony.

CVE-2026-15719 dotyka izolacji witryn w ścieżce nawigacji DOM. Izolacja ma ograniczać wpływ jednej domeny na dane i wykonanie innej. Problem w tej granicy jest istotny właśnie dlatego, że przeglądarka codziennie łączy w jednym interfejsie wiele wzajemnie nieufnych originów.

Publiczny advisory nie opisuje pełnego łańcucha exploitacji ani wszystkich warunków. Nie należy dopowiadać skutków, których producent nie potwierdził. Wystarczającym powodem do priorytetu są krytyczna ocena, publiczny kod oraz powszechność przeglądarki.

Przeglądarka to część powierzchni ataku firmy

W wielu organizacjach aktualizacja przeglądarki nadal jest traktowana jak decyzja użytkownika. To błąd. Firefox może działać na stacjach administratorów, komputerach deweloperów, systemach laboratoryjnych, serwerach terminalowych i prywatnych urządzeniach dopuszczonych do zasobów firmowych.

Ryzyko rośnie, gdy użytkownik przeglądarki ma:

aktywną sesję do paneli administracyjnych;
dostęp do repozytoriów, chmury lub systemów finansowych;
lokalne tokeny, certyfikaty albo klucze SSH;
uprawnienia do instalacji oprogramowania;
przeglądarkę uruchomioną na niezarządzanym urządzeniu.

Dlatego priorytet nie powinien zależeć wyłącznie od liczby instalacji. Jedna nieaktualna stacja administratora może mieć większe znaczenie niż sto kiosków w izolowanym segmencie.

Plan aktualizacji bez zgadywania

1. Ustal rzeczywistą wersję

Zbierz dane z MDM, EDR lub systemu zarządzania oprogramowaniem. Oddziel wersję zainstalowaną od wersji procesu aktualnie uruchomionego — użytkownik może mieć nowe pliki na dysku, ale nadal korzystać ze starej sesji przeglądarki.

2. Najpierw uprzywilejowane profile

W pierwszej kolejności zaktualizuj administratorów, zespoły IT, deweloperów, SOC oraz użytkowników obsługujących płatności i dane wrażliwe. Potem zamknij pozostałą flotę zgodnie z mierzalnym SLA.

3. Wymuś ponowne uruchomienie

Samo pobranie wersji 152.0.6 nie zawsze aktywuje poprawione procesy. Zaplanuj komunikat i termin restartu aplikacji. Po nim ponownie zmierz wersję.

4. Uwzględnij urządzenia poza siecią

Komputery urlopowane, BYOD i urządzenia rzadko łączące się z VPN często wypadają ze standardowego raportu. Polityka dostępu warunkowego może ograniczyć dostęp do wrażliwych usług z niezgodnej stacji.

Co monitorować po publikacji exploita

Nie istnieje jeden uniwersalny IOC dla podatności przeglądarki. Skup się na zachowaniu endpointu:

awarie i nietypowe restarty procesów Firefox;
procesy potomne, których przeglądarka normalnie nie uruchamia;
zapis plików wykonywalnych w nietypowych lokalizacjach;
nowe zadania, usługi lub mechanizmy persistence po sesji WWW;
połączenia wychodzące procesu do nieznanych domen;
logowania do usług firmowych z nowego urządzenia po zdarzeniu na stacji.

Pojedynczy crash nie dowodzi exploitacji. Korelacja crashu, nietypowego procesu potomnego, nowego pliku i aktywności konta tworzy już znacznie silniejszy sygnał.

Jak zamknąć zadanie

Dobry wynik to nie „wysłaliśmy e-mail z prośbą o aktualizację”. Zespół powinien znać:

procent aktywnych urządzeń z Firefox 152.0.6 lub nowszym;
listę wyjątków wraz z właścicielem i terminem;
liczbę uprzywilejowanych stacji pozostających poza zgodnością;
potwierdzenie restartu procesu;
stan monitoringu zachowań endpointu w okresie podwyższonego ryzyka.

Ta sama metoda działa dla innych przeglądarek: wersja, realnie uruchomiony proces, profil ryzyka użytkownika, telemetryczne pokrycie i wymuszony termin. W ramach audytu bezpieczeństwa IT warto sprawdzić, czy zarządzanie przeglądarkami obejmuje również urządzenia zdalne i konta uprzywilejowane.

Źródło pierwotne: Mozilla Foundation Security Advisory 2026-67 — Firefox 152.0.6.